موضوع مقاله: اصل کمینه‌سازی مجوز | مخاطب: عمومی | لحن: دانشنامه‌ای | ساختار: عنوان، مقدمه، 3 بخش، جمع‌بندی | مقاله: | # اصل کمینه‌سازی مجوز | مقدمه: برای مثال، یک حساب کاربری برای تنها هدف ساخت پشتیبان (بک‌آپ) نیاز به "نصب نرم‌افزار" ندارد: از این رو تنها حقوق (مجوزهای) اجرای پشتیبان و برنامه‌کاربردی مرتبط با پشتیبان را باید داشته باشد. | ## بخش 1: اصل کمینه‌سازی مجوز | این اصل به کاربر یک رایانه شخصی هم اعمال می‌شود، که معمولاً کارهایش را در یک حساب کاربری نرمال انجام می‌دهد، و تنها موقعی وضعیت واقعاً اقتضا کند، یک حساب حق‌ویژه دار و محافظت شده با گذرواژه (که ابرکاربر است) را باز می‌کند. اگر این اصل برای کاربران اعمال گردد، برای آن اصطلاحات دسترسی حداقلی کاربر، یا حساب کاربری با مجوز حداقلی با کوته‌نوشت LUA به کار می‌رود، که به این مفهوم اشاره دارد که همه حساب‌های کاربری در همه زمان‌ها باید با کمترین حق‌ویژه ممکن اجرا شوند، همچنین باید برنامه‌های کاربردی را با کمترین حق‌ویژه ممکن راه‌اندازی کنند. اصل کمینه‌سازی مجوز به صورت معمول به عنوان یکی از «ملاحظات طراحی» برای بالابردن محافظت از داده و عملکرد از خطا (تاب‌آوری خطا) و رفتار بدخواهانه (امنیت رایانه) شناخته می‌شود. مزیت‌های این اصل شامل: پایداری بهتر سامانه: موقعی که کد در قلمرو تغییراتی که در سامانه می‌تواند ایجاد کند، محدود شده‌است، تست‌کردن کنش‌ها و میان‌کنش‌های ممکن آن با دیگر برنامه‌های کاربردی ساده‌تر می‌شود. مثلاً در عمل، برنامه‌های کاربردی که با حقوق محدود اجرا شده‌اند، به اجرای عملیاتی که منجر به هنگ‌کردن یک ماشین می‌شوند، دسترسی ندارند، یا به این دسترسی ندارند که به صورت نامطلوب روی دیگر برنامه‌های کاربردی دیگر اجرا شده روی همان سامانه تأثیر بگذارند. | ## بخش 2: اصل کمینه‌سازی مجوز | امنیت بهتر سامانه: موقعی که کد در کنش‌های سطح سامانه که می‌تواند انجام بدهد محدود شده‌است، آن سامانه، از آسیب‌پذیری‌های موجود در یک برنامه‌کاربردی برای بهره‌برداری از مابقی ماشین مصون می‌ماند. برای مثال، مایکروسافت بیان کرده‌است که «اگر مشتریان در حالت کاربری استاندارد اجرا شوند، در این صورت آنها محافظت بیشتری در برابر آسیب‌های سطح سامانه سهوی دارند، مثلاً از آسیب‌هایی که در اثر "حمله شکست " یا بدافزارهایی مثل روت‌کیت، جاسوس‌افزار، و ویروس‌های غیرقابل تشخیص رخ می‌دهند، بیشتر مصون می‌مانند.» سادگی استقرار: به صورت کلی هر چه یک برنامه‌کاربردی به حق‌ویژه کمتری نیاز داشته باشد، آن را ساده‌تر می‌توان در یک محیط بزرگتر مستقر کرد. این موضوع از دو مزیت اول نتیجه شده‌است، برنامه‌های کاربردی که باید درایور وسیله را نصب کنند، یا نیاز به حق‌ویژه امنیتی بالایی دارند، معمولاً گام‌های اضافی دارند که در استقرارشان با آن درگیر می‌شوند. برای مثال در ویندوز یک برنامه بدون افزاره‌ران را می‌توان به صورت مستقیم و بدون نصب اجرا کرد، درحالی‌که افزاره‌ران‌های جدا را به کمک «سرویس نصب‌کننده ویندوز» باید نصب کرد، تا به درایور حقوق‌ویژه بالاتری اعطا کرد. موقعی که پیچیدگی برنامه با نرخ نمایی افزایش می‌یابد، تعداد مشکلات بالقوه هم افزایش می‌یابد، و این باعث می‌شود تحویل یک دیدگاه پیشگویانه غیرعملی شود. | ## بخش 3: اصل کمینه‌سازی مجوز | مثال‌های این تعریف شامل، «مقادیر متغیرهایی که می‌تواند پردازش کند»، «آدرس‌هایی که به آن نیاز دارد»، یا «زمان دقیقی که این اشیا نیاز دارند». سامانه‌های توانمندی شیء، مثلاً امکان به‌تعویق‌انداختن اعطای یک حق‌ویژه تک-کاره را به زمان-استفاده می‌دهد. امروزه، عملیاتی‌ترین دیدگاه آن است که، حقوق‌ویژه‌ای را که به صورت دستی به صورت غیرلازم ارزیابی می‌شوند، حذف کنیم. اما در این صورت هم معمولاً مجموعه حقوق‌ویژه نتیجه شده، از حقوق‌ویژه کمینه صحیح، برای پردازه تجاوز می‌کند. محدودیت دیگر، «دانه‌بندی کنترل» است که محیط عملیاتی روی حقوق‌ویژه برای یک پردازه منفرد دارد. | ## جمع‌بندی | در عمل به ندرت می‌توان دسترسی پردازه به حافظه، زمان پردازش، آدرس‌های وسایل I/O یا حالت‌ها را، با دقت، برای تنها مجموعه دقیقی از حقوق ویژه‌ای که یک پردازه نیاز دارد، کنترل کرد.