اصل کمینه‌سازی مجوز

اصل کمینه‌سازی مجوز  یا اصل کمینه‌سازی حق‌ویژه با کوته‌نوشت PoLP در امنیت اطلاعات، علوم رایانه و رشته‌های دیگر، این الزام را برقرار می‌کند که در یک لایه انتزاع خاص از محیط رایانش، هر پودمان (مثلا یک پردازه، کاربر، یا یک برنامه بر اساس فاعل آن) باید «فقط» به اطلاعات و منابعی دسترسی داشته باشد که برای هدف مشروع و مجاز خود به آن نیاز دارد.Saltzer & Schroeder 75Denning 76

این اصل در ابتدا توسط جری سالتزر فرموله شد:

 جزئیات 
این اصل به این معنی است که به هر پردازه یا حساب کاربری تنها آن مجوزهایی را بدهید که برای انجام عمل مورد نظر خود ضروری است. برای مثال، یک حساب کاربری برای تنها هدف ساخت پشتیبان (بک‌آپ) نیاز به "نصب نرم‌افزار" ندارد: از این رو تنها حقوق (مجوزهای) اجرای پشتیبان و برنامه‌کاربردی مرتبط با پشتیبان را باید داشته باشد. در اینجا هر مجوز دیگری، مثل نصب نرم‌افزار جدید، مسدود می‌شود. این اصل به کاربر یک رایانه شخصی هم اعمال می‌شود، که معمولاً کارهایش را در یک حساب کاربری نرمال انجام می‌دهد، و تنها موقعی وضعیت واقعاً اقتضا کند، یک حساب حق‌ویژه دار و محافظت شده با گذرواژه (که ابرکاربر است) را باز می‌کند.

اگر این اصل برای کاربران اعمال گردد، برای آن اصطلاحات دسترسی حداقلی کاربر، یا حساب کاربری با مجوز حداقلی  با کوته‌نوشت LUA به کار می‌رود، که به این مفهوم اشاره دارد که همه حساب‌های کاربری در همه زمان‌ها باید با کمترین حق‌ویژه ممکن اجرا شوند، همچنین باید برنامه‌های کاربردی را با کمترین حق‌ویژه ممکن راه‌اندازی کنند.

اصل کمینه‌سازی مجوز به صورت معمول به عنوان یکی از «ملاحظات طراحی» برای بالابردن محافظت از داده و عملکرد از خطا (تاب‌آوری خطا) و رفتار بدخواهانه (امنیت رایانه) شناخته می‌شود.

مزیت‌های این اصل شامل:
 پایداری بهتر سامانه: موقعی که کد در قلمرو تغییراتی که در سامانه می‌تواند ایجاد کند، محدود شده‌است، تست‌کردن کنش‌ها و میان‌کنش‌های ممکن آن با دیگر برنامه‌های کاربردی ساده‌تر می‌شود. مثلاً در عمل، برنامه‌های کاربردی که با حقوق محدود اجرا شده‌اند، به اجرای عملیاتی که منجر به هنگ‌کردن یک ماشین می‌شوند، دسترسی ندارند، یا به این دسترسی ندارند که به صورت نامطلوب روی دیگر برنامه‌های کاربردی دیگر اجرا شده روی همان سامانه تأثیر بگذارند.
 امنیت بهتر سامانه: موقعی که کد در کنش‌های سطح سامانه که می‌تواند انجام بدهد محدود شده‌است، آن سامانه، از آسیب‌پذیری‌های موجود در یک برنامه‌کاربردی برای بهره‌برداری از مابقی ماشین مصون می‌ماند. برای مثال، مایکروسافت بیان کرده‌است که «اگر مشتریان در حالت کاربری استاندارد اجرا شوند، در این صورت آنها محافظت بیشتری در برابر آسیب‌های سطح سامانه سهوی دارند، مثلاً از آسیب‌هایی که در اثر "حمله شکست " یا بدافزارهایی مثل روت‌کیت، جاسوس‌افزار، و ویروس‌های غیرقابل تشخیص رخ می‌دهند، بیشتر مصون می‌مانند.»
 سادگی استقرار: به صورت کلی هر چه یک برنامه‌کاربردی به حق‌ویژه کمتری نیاز داشته باشد، آن را ساده‌تر می‌توان در یک محیط بزرگتر مستقر کرد. این موضوع از دو مزیت اول نتیجه شده‌است، برنامه‌های کاربردی که باید درایور وسیله را نصب کنند، یا نیاز به حق‌ویژه امنیتی بالایی دارند، معمولاً گام‌های اضافی دارند که در استقرارشان با آن درگیر می‌شوند. برای مثال در ویندوز یک برنامه بدون افزاره‌ران را می‌توان به صورت مستقیم و بدون نصب اجرا کرد، درحالی‌که افزاره‌ران‌های جدا را به کمک «سرویس نصب‌کننده ویندوز» باید نصب کرد، تا به درایور حقوق‌ویژه بالاتری اعطا کرد.

در عمل برای حق‌ویژه کمینه صحیح، چندین تعریف رقیب وجود دارد. موقعی که پیچیدگی برنامه با نرخ نمایی افزایش می‌یابد، تعداد مشکلات بالقوه هم افزایش می‌یابد، و این باعث می‌شود تحویل یک دیدگاه پیشگویانه غیرعملی شود. مثال‌های این تعریف شامل، «مقادیر متغیرهایی که می‌تواند پردازش کند»، «آدرس‌هایی که به آن نیاز دارد»، یا «زمان دقیقی که این اشیا نیاز دارند». سامانه‌های توانمندی شیء، مثلاً امکان به‌تعویق‌انداختن اعطای یک حق‌ویژه تک-کاره را به زمان-استفاده می‌دهد. امروزه، عملیاتی‌ترین دیدگاه آن است که، حقوق‌ویژه‌ای را که به صورت دستی به صورت غیرلازم ارزیابی می‌شوند، حذف کنیم. اما در این صورت هم معمولاً مجموعه حقوق‌ویژه نتیجه شده، از حقوق‌ویژه کمینه صحیح، برای پردازه تجاوز می‌کند.

محدودیت دیگر، «دانه‌بندی کنترل» است که محیط عملیاتی روی حقوق‌ویژه برای یک پردازه منفرد دارد. در عمل به ندرت می‌توان دسترسی پردازه به حافظه، زمان پردازش، آدرس‌های وسایل I/O یا حالت‌ها را، با دقت، برای تنها مجموعه دقیقی از حقوق ویژه‌ای که یک پردازه نیاز دارد، کنترل کرد.

 پانویس 

 منابع 

رده:امنیت رایانه‌ای
رده:نظریه اطلاعات