¿Puede alguien explicarme RBAC?

Primero, creo que deberíamos aclarar el vocabulario. DAC significa control de acceso discrecional, lo que significa que alguien (por definir) puede decidir quién accede a qué acceso dentro del sistema, cuando MAC, el control de acceso obligatorio, tiende a relacionarse con sistemas donde el acceso no se puede dar dentro del sistema. En mi opinión, ni DAC ni MAC implican una implementación específica.

Con respecto a RBAC en el mundo UNIX, IBM tiene una buena explicación sobre por qué esto es importante: enlace . La implementación de AIX RBAC implementa una partición del conjunto de todos los accesos raíz y permite que los roles específicos tengan acceso de administrador específico (en la red, en las contraseñas, etc.)

Su ejemplo con administradores de sistemas y administradores es bueno, aunque se limita al espacio de usuario y al acceso a archivos.

Entonces, con respecto a su última pregunta sobre el lugar de una implementación RBAC UNIX (capa o diferentes elementos internos), parece que depende en gran medida de qué acceso estamos hablando.

• Si se trata de acceso a archivos, RBAC puede implementarse con funciones existentes, aunque los recursos a los que puede acceder una función no se administran de manera centralizada como mencionó. Una capa de abstracción podría lidiar con eso.
• si los accesos raíz se dividen en muchos accesos (la implementación de AIX RBAC), entonces creo que se necesita un trabajo interno con nuevos métodos y estructuras de datos en el núcleo del sistema operativo.

Espero que esto ayude, Saludos,

Respondido por los comentarios de @woliveirajr arriba. En teoría, no hay diferencia entre el RBAC "mínimo" implementado en los permisos del sistema de archivos y las ACL que aplican los permisos solo a los grupos. Así que voy a adivinar que la implementación de Windows es una capa de abstracción en las ACL de Windows, en lugar de un sistema de permisos independiente que usa su propio controlador o algo similar.

Debería consultar la fuente autorizada para RBAC, a saber, NIST. Tienen un sitio web completo dedicado a RBAC.

• sitio web de NIST en RBAC .

Después de investigar un poco sobre su pregunta, he leído que tanto el MAC como el DAC se pueden implementar con RBAC.

Obviamente, hay una conexión clara entre RBAC y DAC cuando se trata simplemente de mantener las ACL. RBAC parece ser solo un nivel más alto, un estilo de organización menos granular. RBAC es más apropiado para manejar cuestiones como la separación de tareas, además de controlar el acceso a los objetos de datos.

RBAC utiliza un conjunto de políticas y conjuntos de reglas para limitar las acciones de varios usuarios, incluyendo root, por lo que esencialmente, hace que las explotaciones locales de root no sean útiles. El RBAC de Grsecurity es mi favorito, limita la salida de dmesg () y netstat () por lo que el atacante no puede encontrar ninguna información útil para atacar el sistema.