Rettighed

Formelt er rettigheder felter i Lampsons adgangsmatrix (1971): subjekter som rækker, objekter som kolonner og rettigheder i cellerne. Virkelige systemer lagrer matricen spredt, enten pr. kolonne som adgangskontrollister (ACL'er) knyttet til objekterne eller pr. række som capabilities, subjekterne har. Unix og Windows er ACL-baserede for filer; fildeskriptorer og Windows-handles opfører sig som capabilities, når de først er udstedt, fordi rettighederne tjekkes ved åbning og gemmes i handlet.

Klassiske Unix-rettigheder er 12 mode-bits: læse, skrive og udføre for ejer, gruppe og andre plus setuid (4000), setgid (2000) og sticky bit (1000). For mapper er betydningen en anden end for filer: r giver lov at liste navne, x at gå igennem, og w på en mappe giver lov at oprette og slette poster uanset filernes egne rettigheder, og derfor skal mapper, alle kan skrive i, som /tmp, have sticky bit (mode 1777). Umask (typisk 022 eller 027) fjerner bits fra nyoprettede filer. POSIX-ACL'er tilføjer navngivne brugere og grupper med en mask-post, og Linux capabilities deler roots magt op i enheder som CAP_NET_BIND_SERVICE, CAP_SYS_ADMIN og CAP_DAC_OVERRIDE, så et program kun har det, det har brug for. Setuid-root-programmer er fortsat en stabil kilde til lokal rettighedseskalering, fordi enhver fejl i dem kører med fulde rettigheder.

Windows knytter hvert sikringsbart objekt til en security descriptor med en ejer-SID og en discretionary ACL af access control entries (ACE'er). Adgangstjekket sammenligner ACE'erne med SID'erne i kalderens access token og evaluerer dem i rækkefølge; den kanoniske orden sætter eksplicitte afvisninger før eksplicitte tilladelser før nedarvede poster, og et objekt med en NULL-DACL giver alle fuld adgang, mens en tom DACL ikke giver nogen noget. Nedarvning spreder ACE'er ned gennem mappetræer. For netværksshares er den effektive adgang den mest restriktive af share- og NTFS-rettighederne. Derudover omgår brugerrettigheder (privilegier) som SeDebugPrivilege, SeBackupPrivilege og SeImpersonatePrivilege objekternes ACL'er helt; den sidste ligger bag "Potato"-familien af eskaleringer fra tjenestekonti til SYSTEM. Obligatoriske integritetsniveauer (Low, Medium, High, System) lægger en regel om ingen skrivning opad oven på DACL'en.

Diskretionær adgangskontrol lader ejere tildele rettigheder efter eget valg; obligatorisk adgangskontrol (SELinux, AppArmor, Windows' integritetsniveauer) håndhæver en systempolitik, som ejere ikke kan tilsidesætte. Modeller på højere niveau som RBAC og ABAC (NIST SP 800-162) afgør, hvilke rettigheder en konto bør have, men de håndhæves i sidste ende som rettigheder på lavt niveau som disse. De driftsmæssige problemer er rettighedsophobning, hvor medarbejdere samler rettigheder op gennem rolleskift, for brede tildelinger som Everyone eller Authenticated Users på shares, og rettigheder, der aldrig bliver gennemgået. ISO/IEC 27001:2022 behandler det i Annex A 5.15 (adgangsstyring), 5.18 (adgangsrettigheder) og 8.2 (privilegerede adgangsrettigheder), og mindste privilegium kombineret med periodiske gennemgange af adgange er fortsat det styrende princip.