Controlo de acessos e fluxos

A Ana tem sessão iniciada mas continua sem permissão para ler a pauta de outro curso. Autenticar confirma quem é a Ana. Uma entidade pode ser uma pessoa, conta ou processo. Autorizar decide se essa entidade pode executar uma operação sobre um objeto concreto como a pauta. É esse passo que decide o acesso.

Matriz de acessos

Dois pedidos concretizam a matriz: Ana quer ler precos.csv e um processo de atualização quer escrever nesse ficheiro. A matriz regista uma linha por sujeito, uma coluna por objeto e, em cada célula, as operações permitidas. Uma ACL guarda permissões junto do objeto, como uma coluna da matriz: para decidir, o sistema procura o sujeito na lista do objeto. Uma capacidade é o percurso oposto: uma referência protegida contra falsificação que o sujeito apresenta e que concede operações sobre um objeto. Não confundas este conceito com as Linux capabilities, que são fragmentos de privilégio de root divididos por tipo de operação.

DAC, MAC e RBAC

No DAC (controlo discricionário), o dono pode decidir parte dos acessos, por exemplo partilhar a sua pasta com um colega. No MAC (controlo obrigatório), uma política central limita decisões dos sujeitos, mesmo que sejam donos, por exemplo impedir que um documento Secreto seja partilhado. No RBAC (controlo baseado em papéis), atribuímos permissões a papéis e papéis a utilizadores: o papel Docente pode alterar pautas e o papel Aluno só pode consultar as suas. Trocar o papel de uma pessoa não garante que retiramos autorizações concedidas por outros caminhos: temos de considerar a política completa.

ABAC: atributos e contexto

No ABAC (controlo baseado em atributos), a política avalia atributos do sujeito, do objeto e da operação, podendo incluir o contexto. Por exemplo, ler uma pauta exige que o sujeito seja docente da cadeira dessa pauta e que o período de consulta esteja aberto. Ter o papel Docente, sozinho, deixa de ser suficiente.

Considera Ana, docente de FSI, e uma pauta de FSI disponível até às 18:00. Às 17:00, o pedido satisfaz as duas condições. Uma pauta de outra cadeira falha a correspondência; a mesma pauta às 19:00 falha o horário. Em ambos os casos, a identidade continua autenticada. Os atributos relevantes vêm de fontes que o servidor valida: aceitar cadeira=FSI enviado pelo cliente como prova de que é docente volta a dar ao requerente a decisão de autorização.

RBAC pode ser representado por atributos de papel. ABAC permite acrescentar condições sobre objetos e contexto; não é outra forma de armazenar uma coluna da matriz.

Confidencialidade com Bell-LaPadula

Considera níveis ordenados Público < Confidencial < Secreto. Na versão básica de Bell-LaPadula, um sujeito não lê acima do seu nível, no read up, e não escreve abaixo, no write down. Assim, um sujeito Confidencial lê Público ou Confidencial e escreve Confidencial ou Secreto, sujeito às restantes permissões.

A proibição de escrita para baixo impede que um processo que conhece um segredo o copie para um objeto público. Não impede corrupção de dados em níveis superiores. O modelo protege confidencialidade, não integridade.

Desclassificar um resumo exige um procedimento confiável fora desta regra básica. Anonimizar alguns campos não prova automaticamente que um documento deixa de ser confidencial.

Integridade com Biba

Na política estrita de Biba, os níveis representam integridade, não secretismo. Um sujeito não lê dados de integridade inferior, no read down, e não escreve em integridade superior, no write up. Isto evita que dados menos confiáveis contaminem decisões e objetos mais confiáveis.

Um processo de integridade Alta pode ler Alta e escrever Alta ou Baixa. Um processo Baixa não pode alterar um objeto Alta. O modelo não impede a divulgação de segredos. Antes de aplicar setas, identifica qual propriedade e qual variante da política o enunciado usa.

No diagrama, o sujeito está no nível alto e o objeto no nível baixo, e assumimos que as restantes permissões estão satisfeitas. As setas mostram o sentido dos dados, não o nome da operação: ao ler, os dados vão do objeto para o sujeito; ao escrever, vão do sujeito para o objeto. Em Bell-LaPadula, os níveis medem confidencialidade; em Biba estrito, medem integridade.

Permissões Unix

Num ficheiro regular, r permite ler conteúdo, w alterar conteúdo e x executar. Num diretório, r permite enumerar nomes, x procurar/atravessar e w, em conjunto com x, permite alterar entradas, como criar ou remover nomes, sujeito a restrições adicionais.

Escolhemos um trio: dono se o processo corresponde ao dono; senão grupo se pertence ao grupo; senão outros. Não tentamos as permissões dos outros quando o trio do dono nega uma operação. Esta regra assume os bits tradicionais, sem ACL adicionais, capacidades especiais ou privilégios de root.

Em octal, $r=4$, $w=2$, $x=1$. O modo 640 significa rw-r-----, e 750 significa rwxr-x---.

Exemplo resolvido

Todos os diretórios anteriores são atravessáveis. /srv/loja pertence a loja:vendas e tem 750. precos.csv pertence ao mesmo dono e grupo e tem 640.

Pedido	Decisão	Regra
Ana, grupo vendas, lê o ficheiro	Permitido	Tem x na pasta e r no ficheiro
Bruno, grupo vendas, escreve conteúdo	Negado	O trio do grupo no ficheiro não tem w
Carlos, fora de vendas, lê	Negado	O trio dos outros na pasta não tem x
Processo com identidade efetiva loja escreve	Permitido	Tem x na pasta e w de dono no ficheiro

A última linha usa a identidade efetiva do processo. Não assumimos que um script ganha setuid: em sistemas como Linux, o bit setuid de scripts interpretados é ignorado. Um executável setuid pode mudar a identidade efetiva segundo as regras do sistema, e por isso exige revisão cuidada.

Agora muda a pasta para 770. Bruno pode remover o nome do ficheiro, apesar de não poder escrever o seu conteúdo, porque tem w+x no diretório. O sticky bit, como em diretórios temporários partilhados, acrescenta restrições à remoção. Por isso, «ficheiro só de leitura» não implica «impossível de apagar»: remover um nome altera o diretório, não o conteúdo do ficheiro.

Revogação e autoridade

Retirar uma permissão não desfaz dados já copiados. Em Unix, alterar os bits de permissão de um ficheiro não retira automaticamente todos os direitos de um descritor já aberto. O guião Set-UID mostra o caso relacionado: baixar o UID não fecha um descritor obtido antes. Quando analisamos revogação, precisamos de indicar qual referência se verifica, quando se verifica e que acessos existentes a política pretende terminar.

Isolamento no sistema operativo

Permissões e políticas dependem do mecanismo que as aplica. Continua em memória virtual e fronteira do kernel para distinguir traduções e autoridade; em Android, observa UID e políticas da aplicação; em containers e seccomp, identifica o kernel partilhado e os limites de cada controlo, porque cada fronteira tem hipóteses diferentes.