Autorizzazione (informatica)

In informatica, l'autorizzazione è la funzione che specifica i privilegi di accesso alle risorse legate alla sicurezza delle informazioni, alla sicurezza informatica in generale e in particolare al controllo degli accessi. Più formalmente, autorizzare significa definire una politica di accesso. Per esempio, il personale delle risorse umane normalmente è autorizzato ad accedere ai records dei dipendenti e questa politica è solitamente formalizzata come regole di controllo degli accessi in un sistema informatico. Durante il funzionamento, il sistema utilizza le regole del controllo degli accessi per decidere se le richieste di accesso degli utenti (autenticati) devono essere approvate (granted) o meno (rejected). Le risorse a cui accedere possono includere singoli file, dati di un elemento, programmi, dispositivi informatici e varie funzionalità specifiche fornite dalle applicazioni.

Descrizione modifica

Il controllo degli accessi nei sistemi e nelle reti informatiche si basa sulle politiche di accesso. Il processo di controllo dell'accesso può essere suddiviso nelle seguenti fasi: la fase di definizione delle politiche in cui l'accesso è autorizzato e la fase di esecuzione delle politiche in cui le richieste di accesso sono approvate o respinte. L'autorizzazione è la funzione della fase di definizione delle politiche che precede la fase di attuazione delle politiche in cui le richieste di accesso sono approvate o respinte in base alle autorizzazioni precedentemente definite.

La maggior parte dei sistemi operativi multi-utente moderni includono il controllo degli accessi e quindi contano sull'autorizzazione. Il controllo d'accesso utilizza anche l'autenticazione per verificare l'identità dell'utente. Quando un utente cerca di accedere ad una risorsa, il processo di controllo dell'accesso verifica che l'utente sia stato autorizzato a utilizzare tale risorsa. L'autorizzazione è responsabilità di un'autorità, ad esempio un responsabile di reparto, all'interno del dominio applicativo, ma viene spesso delegata ad un custode come l'amministratore di sistema. Le autorizzazioni sono espresse come criteri di accesso in alcuni tipi di "policy definition application", ad esempio, sotto forma di un elenco di controllo degli accessi o di una capability, in base al "principio del privilegio minimo": gli utenti dovrebbero essere autorizzati ad accedere a tutto ciò che è strettamente necessario per svolgere il proprio lavoro. I vecchi sistemi operativi mono-utente, spesso, avevano sistemi di autenticazione e di controllo degli accessi molto deboli o inesistenti.

Gli utenti anonimo o guest (ospite), sono utenti per i quali non è stato necessario impostare un processo di autenticazione. Hanno spesso un'autorizzazione limitata. Su un sistema distribuito, può essere utile concedere l'accesso senza richiedere un'identità univoca. Esempi familiari possono essere i token d'accesso che includono chiavi e biglietti, concedendo l'accesso senza dover provare l'identità.

Gli utenti attendibili sono spesso autorizzati a un accesso illimitato alle risorse di un sistema, ma devono essere autenticati, in modo che il sistema di controllo dell'accesso possa prendere la decisione di approvazione. Gli utenti "parzialmente" affidabili e i guest hanno un'autorizzazione limitata, al fine di proteggere le risorse dall'uso improprio. La politica di accesso in alcuni sistemi operativi, per impostazione predefinita, consente a tutti gli utenti l'accesso completo a tutte le risorse. Altri S.O, invece, fanno il contrario, insistendo sul fatto che l'amministratore autorizzi esplicitamente un utente ad utilizzare le risorse.

Anche quando l'accesso è controllato attraverso una combinazione di autenticazioni ed ACL, i problemi di mantenimento dei dati di autorizzazione non sono banali e spesso rappresentano tanto carico gestionale quanto credenziali di autenticazione. Spesso è necessario modificare o rimuovere l'autorizzazione di un utente: ciò avviene modificando o eliminando le relative regole di accesso sul sistema. L'utilizzo dell'autorizzazione atomica è un'alternativa alla gestione delle autorizzazioni per ogni sistema, in cui una terza parte affidabile distribuisce in modo sicuro le informazioni sull'autorizzazione.

Interpretazioni modifica

Politica pubblica

Nella politica pubblica, l'autorizzazione è una caratteristica dei sistemi attendibili utilizzati per la sicurezza o il controllo sociale.

Settore bancario

Nel settore bancario, l'autorizzazione è un addebito sul conto di un cliente quando viene effettuato un acquisto utilizzando una carta di debito o una carta di credito.

Settore editoriale

Nel settore editoriale, talvolta si pubblicano lezioni e altri testi liberamente disponibili senza l'approvazione dell'autore. Questi sono chiamati testi non autorizzati. Un esempio è "La teoria del tutto: origine e destino dell'universo", una raccolta dalle lezioni di Stephen Hawking e pubblicata senza il suo permesso in base alla legge sul diritto d'autore.

Voci correlate modifica

Controllo di autorità	GND (DE) 4638999-4

Portale Sicurezza informatica: accedi alle voci di Wikipedia che trattano di sicurezza informatica