Access Control Lists : dé­fi­ni­tion, fonc­tion­ne­ment et uti­li­sa­tion

Les Access Control Lists (ACL) ou listes de contrôle d’accès per­met­tent de ré­gle­men­ter l’accès des processus et des uti­li­sa­teurs à certains objets de l’or­di­na­teur, tels que les fichiers ou les registres. Avec elles, seuls les uti­li­sa­teurs autorisés peuvent donc accéder à certaines res­sources.

Qu’est-ce qu’une Access Control List ?

Les Access Control Lists cons­ti­tuent une forme de contrôle d’accès et fonc­tion­nent exac­te­ment comme le Mandatory Access Control ou le Role Based Access Control. Fon­da­men­ta­le­ment, les ACL cons­ti­tuent des cadres ré­gle­men­taires. Ils sont par exemple utilisés par des systèmes d’ex­ploi­ta­tion ou des pro­grammes d’ap­pli­ca­tion, qui s’en servent pour gérer les accès à certaines parties de leur programme ou à certaines res­sources. L’uti­li­sa­tion d’ACL s’apparente donc à une mesure de gestion des droits sur les fichiers ou d’autres res­sources d’un or­di­na­teur.

Ces Access Control Lists peuvent être re­pré­sen­tées comme une sorte de table qui indique, pour chaque ressource, les uti­li­sa­teurs ayant accès à celle-ci ainsi que le type d’accès dont ils bé­né­fi­cient. Vous trouverez ci-dessous les droits d’accès les plus courants :

• le droit de lire un fichier (« read »)
• le droit d’écrire un fichier (« write »)
• le droit d’exécuter un fichier (« execute »)

Au sein d’une ACL, ces éléments sont également appelés « entrées de contrôle d’accès » (« Access Control Entries » ou « ACE » en anglais).

Le principe de fonc­tion­ne­ment des Access Control Lists est très simple : dès qu’un uti­li­sa­teur donné souhaite accéder à une ressource en par­ti­cu­lier, l’ACL cor­res­pon­dante vérifie si cet accès est bien autorisé (pour le dire autrement, elle vérifie s’il existe une ACE pour l’uti­li­sa­teur). Si c’est le cas, elle lui autorise cet accès ; à l’inverse, elle peut le refuser.

Dif­fé­rents types d’ACL et d’uti­li­sa­tions

Il existe dif­fé­rents types d’ACL. Les pos­si­bi­li­tés d’uti­li­sa­tion des listes de contrôle d’accès sont donc elles aussi très vastes. Pour l’essentiel, il existe surtout deux grands types d’ACL : les ACL réseau et de système de fichiers.

ACL réseau

Les ACL réseau sont des listes de contrôle d’accès qui se pré­sen­tent sous forme de tables. Vous pouvez les utiliser comme une sorte de pare-feu pour votre trafic de données entrant, sur des routeurs par exemple. Les ACL réseau dé­ter­mi­nent les paquets qui peuvent ou non pénétrer dans le réseau. Ainsi, ces ACL per­met­tent donc de contrôler l’accès au réseau.

Dans le domaine des ACL réseau, il est essentiel de dis­tin­guer les listes de contrôle d’accès normales des listes de contrôle d’accès étendues : tra­di­tion­nel­le­ment, les ACL prennent uni­que­ment en compte l’adresse IP source, sans faire de dis­tinc­tion entre les dif­fé­rents pro­to­coles réseau tels que TCP, UDP ou HTTP. Ces listes per­met­tent d’autoriser ou de refuser l’accès à l’ensemble du réseau. En revanche, les ACL étendues tiennent aussi compte de l’adresse IP de des­ti­na­tion. Elles filtrent les paquets de manière nettement plus dif­fé­ren­ciée, en se fondant par exemple sur le protocole réseau ou sur les ports source et cible d’un paquet.

ACL de système de fichiers

Les ACL de système de fichiers, quant à elles, con­trô­lent l’accès aux fichiers et aux res­sources au sein d’un système d’ex­ploi­ta­tion. Ces listes peuvent notamment y être utilisées pour réguler et gérer l’accès de certains uti­li­sa­teurs à des fichiers en par­ti­cu­lier.

Structure des Access Control Lists

Chaque liste de contrôle d’accès est prin­ci­pa­le­ment cons­ti­tuée de plusieurs entrées de contrôle d’accès (« Access Control Entries » ou « ACE » en anglais). Ces entrées cor­res­pon­dent à l’ensemble des règles de l’Access Control List et se composent elles aussi de dif­fé­rents éléments, dont la nature exacte dépend avant tout du type d’ACL utilisé. Si toutes les ACE com­por­tent un iden­ti­fiant et des in­for­ma­tions sur les droits d’accès, des dif­fé­rences con­si­dé­rables peuvent parfois les opposer. Ainsi, en plus des adresses IP, les ACL réseau con­tien­nent donc des in­di­ca­tions sur le protocole ou les numéros de port, là où les ACL de système de fichiers en­re­gistrent encore des in­for­ma­tions relatives aux groupes d’uti­li­sa­teurs.

Im­plé­men­ta­tion d’ACL

L’im­plé­men­ta­tion des listes de contrôle d’accès diffère également en fonction de votre choix entre une ACL réseau ou une ACL système de fichiers. La seconde se configure fa­ci­le­ment et di­rec­te­ment à l’aide de commandes de terminal, tandis que l’ACL réseau s’im­plé­mente dans des com­po­sants réseau tels que les routeurs.

Avantages

Les ACL offrent plusieurs avantages. Les ACL de système de fichiers sont par­ti­cu­liè­re­ment in­té­res­santes, car elles per­met­tent aux uti­li­sa­teurs de con­fi­gu­rer leur or­di­na­teur de manière à autoriser l’accès à certaines res­sources à certains uti­li­sa­teurs uni­que­ment. Dans ce contexte, les listes de contrôle d’accès peuvent notamment venir compléter la gestion des droits intégrée dans Linux en dé­tail­lant davantage la pro­tec­tion des accès, ce qui permet ainsi d’améliorer la sécurité du système.

Les ACL réseau ne sont pas en reste, les listes de contrôle d’accès offrant une al­ter­na­tive re­la­ti­ve­ment simple à d’autres im­plé­men­ta­tions de pare-feu. Elles vous per­met­tent aussi de contrôler le trafic entre les réseaux, et donc d’améliorer la sécurité de votre réseau, mais aussi ses per­for­mances.