Definition Mandatory Access Control | MAC Was ist Mandatory Access Control?

Mandatory Access Control ist ein Zugriffskontrollmodell für IT-Systeme mit zentral definierten Zugriffsrichtlinien. Es bietet ein hohes Sicherheitsniveau, da zentrale Instanzen wie Systemadministratoren festlegen, welche Berechtigungen Benutzer für den Zugriff auf Ressourcen erhalten.

MAC ist das Akronym für Mandatory Access Control. Die deutsche Übersetzung lautet obligatorische oder verbindliche Zugriffskontrolle. Bei MAC handelt es sich um ein Zugriffskontrollmodell für IT-Systeme, das für den Zugriff auf Ressourcen wie Datenobjekte zum Einsatz kommen kann. Das Zugriffskontrollmodell legt fest, welche Operationen wie Lesen, Schreiben oder Ausführen ein Benutzer an einer Ressource wie einer Datei ausführen darf oder nicht. Die Berechtigungen werden von einer zentralen Instanz wie einem Systemadministrator festgelegt und vom Betriebssystem beziehungsweise dem Kernel durchgesetzt. Die Benutzer selbst haben keine Möglichkeit, Berechtigungen zu verändern oder an andere Benutzer weiterzugeben.

Manchmal wird MAC deshalb auch als nicht-diskretionäres Zugriffskontrollmodell bezeichnet, um zu verdeutlichen, dass die Berechtigungsvergabe nicht wie bei Discretionary Access Control (DAC) im Ermessen des Benutzers oder Dateieigentümers liegt. Die zentral definierten Zugriffsrichtlinien sorgen für ein hohes Sicherheitsniveau des MAC-Zugriffskontrollmodells. Die Zugriffskontrolle folgt dem Zero-Trust-Prinzip, das davon ausgeht dass zunächst kein Benutzer vertrauenswürdig ist. Erst durch eine strenge Authentifizierung und den Abgleich mit den zentralen Zugriffsrichtlinien erhält ein Benutzer seine Berechtigungen.

Prinzipielle Funktionsweise von Mandatory Access Control

Wichtig für das Verständnis der Funktionsweise von Mandatory Access Control sind die beiden zentralen Begriffe des Zugriffskontrollmodells Subjekt und Objekt. Objekte sind Systemressourcen wie Dateien, Verzeichnisse, Services oder Geräte, auf die zugegriffen werden soll. Bei den Subjekten handelt es sich um die Akteure wie Benutzer, Anwendungen, Prozesse oder andere Entitäten, die auf Objekte zugreifen und Aktionen mit ihnen ausführen möchten.

Zugriffe auf Objekte und Aktionen mit ihnen sind per Mandatory Access Control geschützt. MAC steuert und begrenzt die Berechtigungen der Subjekte an den Objekten. Zunächst hat kein Subjekt irgendwelche Berechtigungen an einem Objekt. Erst durch die von einer zentralen Instanz festgelegten Regeln und den Nachweis der Identität eines Subjekts können Subjekte Berechtigungen an Objekten erhalten. Versucht ein Subjekt auf ein Objekt zuzugreifen, überprüft Mandatory Access Control sowohl die Sicherheitseigenschaften des Objekts als auch die des Subjekts und gleicht sie mit den hinterlegten Zugriffsrichtlinien ab.

Ob Berechtigungen erteilt werden oder nicht, hängt also von dem Objekt und seinen Eigenschaften, dem Subjekt und seinen Eigenschaften und den definierten Regeln ab. Hierfür weist der Administrator den Objekten und den Subjekten Sicherheitsstufen und Kategorien zu. Beim Zugriff eines Subjekts auf ein Objekt werden diese überprüft. Nur bei Übereinstimmung mit den Sicherheitsrichtlinien werden entsprechende Berechtigungen erteilt. Die Durchsetzung der Zugriffsrichtlinien erfolgt durch das Betriebssystem beziehungsweise durch den Sicherheitskernel.

Grundsätzlich ist bei Mandatory Access Control (MAC) eine Unterscheidung zwischen Multi-Level-Sicherheitssysteme (MLS) und multilateralen Sicherheitssystemen möglich. MLS gliedert die Schutzklassen der Subjekte und Objekte in Schichten. Informationen dürfen nur innerhalb dieser Schichten fließen. Der Zugriff eines Subjekts auf ein Objekt ist nur möglich, wenn die Schutzstufe mindestens so hoch wie die des Objekts ist. Bei multilateralen Sicherheitsmodellen werden die Zugriffsrechte auf Basis sogenannter Segmente mit Schutzstufen und Codewörtern vergeben. Es ergibt sich ein horizontales Zugriffssystem mit zusätzlichen vertikalen Eigenschaften.

Abgrenzung zu Discretionary Access Control (DAC) und weiteren Modellen der Zugriffskontrolle

MAC ist nur eines von mehreren möglichen Zugriffskontrollmodellen für IT-Systeme. Eines dieser weiteren Modelle ist Discretionary Access Control, abgekürzt DAC. DAC wird auch als diskretionäre oder benutzerbestimmbare Zugriffskontrolle bezeichnet. Bei Discretionary Access Control bestimmen der Eigentümer eines Objekts und die Identität des Benutzers die Zugriffsrechte. Die Zugriffsrechte werden nicht wie bei MAC von einer zentralen Instanz vergeben, sondern die Eigentümer von Objekten erteilen den Benutzern Berechtigungen an ihren Objekten oder geben Eigentumsrechte weiter. Es liegt im Ermessen des Eigentümers eines Objekts, wem er welche Berechtigungen erteilt. Die Berechtigungen sind an die Identität des jeweiligen Benutzers gebunden. Die Feststellung der Identität eines Benutzers erfolgt über Authentisierungsverfahren. Mit DAC lässt sich kein so hohes Sicherheitsniveau wie mit MAC erreichen. DAC ist aber sehr flexibel und erlaubt den Eigentümern von Objekten eine selbstbestimmte Erteilung von Berechtigungen an andere Benutzer. Eine zentrale Instanz zur Erteilung von Rechten ist nicht notwendig und Freigaben können delegiert werden. Darüber hinaus lässt sich DAC einfach und schnell implementieren. Das Zugriffskontrollmodell gilt als benutzerfreundlich und intuitiv anwendbar.

Ein ebenfalls häufig angewandtes Zugriffskontrollmodell ist die rollenbasierte Zugriffskontrolle (Englisch: Role Based Access Control, RBAC). Das RBAC-Modell zentralisiert und flexibilisiert das Erteilen von Berechtigungen an Objekten, indem es den Benutzern Rollen zuweist. RBAC kann als eine Art Erweiterung von DAC betrachtet werden. Das Erteilen von Berechtigungen an Ressourcen erfolgt nicht auf Basis einer individuellen Identität, sondern gemäß der einem Benutzer zugewiesenen Rolle. Jede Rolle ist mit bestimmten Berechtigungen an Objekten verbunden. Die Einteilung der Benutzer in die verschiedenen Rollen und die Berechtigungen der Rollen werden im Vorfeld zentral über ein Rollenmodell festgelegt und konfiguriert. Das rollenbasierte Zugriffskontrollmodell sorgt für die Durchsetzung konsistenter Berechtigungsrichtlinien.

Ebenfalls zu den Zugriffskontrollmodellen zählt Attribute-Based Access Control (ABAC). Die attributbasierte Zugriffskontrolle versieht Benutzer und Objekte mit Attributen. Anhand der Attribute entscheidet eine Policy Engine dynamisch, ob Zugriffe auf Ressourcen erlaubt sind oder abgewiesen werden. Mit ABAC lässt sich eine sehr granulare Zugriffskontrolle realisieren. Die Implementierung ist aber aufwendig.

Typische Anwendungsbereiche von Mandatory Access Control

Mandatory Access Control kommt überall dort zum Einsatz, wo strenge Sicherheitsvorgaben oder hohe Datenschutzanforderungen einzuhalten sind. Typische Anwendungsbereiche sind Zugriffskontrollen auf IT-Systemen von Regierungsbehörden, medizinischen Einrichtungen, Finanzinstituten oder militärischen Institutionen.

MAC lässt sich in verschiedene Betriebssysteme implementieren. Beispielsweise besitzt Security-Enhanced Linux (SELinux) eine MAC-Implementierung. Auch bei AppArmor handelt es sich um eine MAC-Implementierung für Linux.

Vorteile von MAC

Die Zugriffskontrolle per Mandatory Access Control bietet zahlreiche Vorteile. Sie gilt als sehr sicher und ermöglicht eine zentrale Kontrolle und Durchsetzung der Berechtigungen. Es lässt sich ein hohes Sicherheits- und Datenschutzniveau erreichen. Benutzer können selbst keine Berechtigungen vergeben oder ändern. Überprivilegierte Benutzer lassen sich leichter verhindern als bei DAC. Darüber hinaus schützt MAC durch die Ausrichtung am Zero-Trust-Prinzip auch gegen Insider-Bedrohungen.

Nachteile und Herausforderungen von Mandatory Access Control

Zu den Nachteilen und Herausforderungen von MAC zählen:

• die zentrale Vergabe der Berechtigungen ist aufwendig und langsam

• zur Umsetzung von MAC ist eine detaillierte Planung notwendig

• MAC erfordert eine fortwährende Überprüfung der den Objekten und Subjekten zugewiesenen Berechtigungen

• die komplette Verantwortung für die Vergabe von Berechtigungen liegt bei einer zentralen Instanz (unter Umständen nur bei einer Person)

• Benutzer können keine Rechte selbstbestimmt vergeben

• für die Erteilung von Berechtigungen muss ein Beantragungsprozess durchlaufen werden

(ID:50147693)