Access Control List: de­fi­ni­zio­ne, fun­zio­na­men­to e finalità d’uso

Le liste di controllo degli accessi (in inglese “Access Control List”, ab­bre­via­to in ACL) ge­sti­sco­no l’accesso di processi e utenti a singoli oggetti di un computer, come ad esempio i file o i registri. In questo modo, ga­ran­ti­sco­no che solo gli utenti au­to­riz­za­ti possano accedere a de­ter­mi­na­te risorse.

Che cos’è esat­ta­men­te una lista di controllo degli accessi?

Le liste di controllo degli accessi per­met­to­no di con­trol­la­re chi e cosa accede alle risorse, esat­ta­men­te come il Mandatory Access Control o il Role Based Access Control. In linea di massima, le ACL sono dei re­go­la­men­ti uti­liz­za­ti ad esempio dai sistemi operativi o da programmi ap­pli­ca­ti­vi per gestire l’accesso a certe parti di un programma o certe risorse. Le ACL sono quindi uno strumento di gestione delle au­to­riz­za­zio­ni di accesso ai file o ad altre risorse di un computer.

È possibile pensare a queste liste di controllo degli accessi come a una specie di tabella che definisce, risorsa per risorsa, quali utenti hanno de­ter­mi­na­ti tipi di accesso a una data risorsa. Le au­to­riz­za­zio­ni di accesso più frequenti sono:

• l’au­to­riz­za­zio­ne per la lettura di un file (read);
• l’au­to­riz­za­zio­ne per la scrittura di un file (write);
• l’au­to­riz­za­zio­ne per l’ese­cu­zio­ne di un file (execute).

Queste voci contenute in un’ACL sono dette anche entità di controllo degli accessi (in inglese “Access Control Entity”, ab­bre­via­to in ACE).

Le liste di controllo degli accessi fun­zio­na­no in base a un principio par­ti­co­lar­men­te semplice: se un utente specifico desidera accedere a una risorsa, l’ACL della risorsa in questione viene con­sul­ta­ta per ve­ri­fi­ca­re se tale accesso è con­sen­ti­to (in altre parole, se esiste un’ACE per quell’utente). In questo caso, l’accesso è con­sen­ti­to, al­tri­men­ti viene negato.

Tipologie di ACL e finalità d’uso

Esistono diverse tipologie di ACL e le pos­si­bi­li­tà di ap­pli­ca­zio­ne delle liste di controllo degli accessi sono varie e numerose. In generale, si di­stin­guo­no due diverse tipologie di ACL: ACL di rete e per file system.

ACL di rete

Le ACL di rete sono liste di controllo degli accessi simili a tabelle che è possibile uti­liz­za­re come una sorta di firewall per il traffico dati in ingresso, ad esempio sui router. Un’ACL di rete di questo tipo sta­bi­li­sce quali pacchetti possono entrare nella rete e quali no. In questo modo è possibile uti­liz­zar­lo per gestire l’accesso alla rete.

Nel campo delle ACL di rete vale ancora la pena di­stin­gue­re tra liste di controllo degli accessi normali ed estese: le ACL normali prendono in con­si­de­ra­zio­ne soltanto l’indirizzo IP di origine e non fanno dif­fe­ren­za fra i diversi pro­to­col­li di rete, come TCP, UDP o HTTP. Queste liste con­sen­to­no o negano l’accesso all’intera rete. Le ACL estese, invece, prendono in con­si­de­ra­zio­ne anche l’indirizzo IP di de­sti­na­zio­ne e filtrano i pacchetti in modo molto più dif­fe­ren­zia­to, ad esempio sulla base del pro­to­col­lo di rete o delle porte di origine e de­sti­na­zio­ne di un pacchetto.

ACL per file system

Al contrario, le ACL per file system con­trol­la­no l’accesso a file e risorse del sistema operativo. Ad esempio, queste liste sono uti­liz­za­te all’interno dei sistemi operativi per regolare e gestire l’accesso dei singoli utenti a file specifici.

Struttura delle liste di controllo degli accessi

Ogni lista di controllo degli accessi consiste es­sen­zial­men­te di diverse voci, le co­sid­det­te entità di controllo degli accessi (ACE). Queste voci formano le regole della lista di controllo degli accessi e a loro volta sono co­sti­tui­te da singoli com­po­nen­ti. Gli esatti com­po­nen­ti in questione dipendono in par­ti­co­la­re dal tipo di ACL. Tutte le ACE com­pren­do­no un ID e in­for­ma­zio­ni sulle au­to­riz­za­zio­ni di accesso, ma a volte dif­fe­ri­sco­no no­te­vol­men­te le une dalle altre. Ad esempio, le ACL di rete con­ten­go­no anche indirizzi IP, in­for­ma­zio­ni sul pro­to­col­lo o sui numeri di porta, mentre le ACL per file system me­mo­riz­za­no anche in­for­ma­zio­ni sui gruppi di utenti.

Im­ple­men­ta­zio­ne delle ACL

Anche l’im­ple­men­ta­zio­ne delle liste di controllo degli accessi varia a seconda che si tratti di un’ACL di rete o per file system. Mentre è possibile con­fi­gu­ra­re fa­cil­men­te quest’ultima tipologia uti­liz­zan­do di­ret­ta­men­te i comandi da terminale, le ACL di rete sono im­ple­men­ta­te su com­po­nen­ti di rete, come i router.

Vantaggi

Le ACL offrono diversi vantaggi. Le ACL per file system, in par­ti­co­la­re, con­sen­to­no agli utenti di con­fi­gu­ra­re i propri computer in modo che solo gli utenti au­to­riz­za­ti possano accedere a de­ter­mi­na­te risorse. Le liste di controllo degli accessi com­ple­ta­no quindi la gestione delle au­to­riz­za­zio­ni integrata in Linux, ad esempio con una pro­te­zio­ne degli accessi più par­ti­co­la­reg­gia­ta, au­men­tan­do in tal modo la sicurezza del sistema.

Le ACL di rete sono quindi un metodo di controllo degli accessi che offre un’al­ter­na­ti­va re­la­ti­va­men­te semplice rispetto ad altre im­ple­men­ta­zio­ni firewall. Inoltre, queste liste con­sen­to­no di con­trol­la­re il traffico dati tra le reti e, quindi, di ottenere non soltanto una maggiore sicurezza della rete, ma anche di aumentare le pre­sta­zio­ni.