Autorisation

L'autorisation ou l'autorisation (voir différences d'orthographe ) est la fonction de spécifier les droits/privilèges pour accéder aux ressources, qui est liée à la sécurité générale de l'information et à la sécurité informatique , et à la gestion des identités et des accès ( IAM ) en particulier. Plus formellement, « autoriser » consiste à définir une politique d'accès lors de la configuration des systèmes et des comptes utilisateurs. Par exemple, les comptes utilisateurs du personnel des ressources humaines sont généralement configurés avec une autorisation d'accès aux dossiers des employés, et cette politique est formalisée sous forme de règles de contrôle d'accès dans un système informatique. L'autorisation ne doit pas être confondue avec le contrôle d'accès. Lors de l'utilisation, le contrôle d'accès applique la politique d'autorisation en décidant si les demandes d'accès aux ressources provenant de consommateurs ( authentifiés ) doivent être approuvées (accordées) ou refusées (rejetées). les données d'un élément , des programmes informatiques , des périphériques informatiques et des fonctionnalités fournies par des applications informatiques . Les exemples de consommateurs sont les utilisateurs d'ordinateurs, les logiciels informatiques et d'autres matériels sur l'ordinateur.

L'IAM se compose des deux phases suivantes : la phase de configuration, au cours de laquelle un compte utilisateur est créé et la politique d'autorisation d'accès correspondante est définie, et la phase d'utilisation, au cours de laquelle l'utilisateur est authentifié, puis contrôlé pour garantir que l'utilisateur/consommateur n'a accès qu'aux ressources pour lesquelles il est autorisé. Le contrôle d'accès dans les systèmes et réseaux informatiques repose donc sur l'autorisation d'accès spécifiée lors de la configuration.

La plupart des systèmes d'exploitation modernes multi-utilisateurs incluent un contrôle d'accès basé sur les rôles (RBAC) où l'autorisation est implicitement définie par les rôles. L'authentification des utilisateurs est le processus de vérification de l' identité des consommateurs. Lorsqu'un consommateur authentifié tente d'accéder à une ressource, le processus de contrôle d'accès vérifie que le consommateur a été autorisé à utiliser cette ressource. L'autorisation est la responsabilité d'une autorité , telle qu'un responsable de service, au sein du domaine d'application, mais elle est souvent déléguée à un dépositaire tel qu'un administrateur système. Les autorisations sont exprimées sous forme de politiques d'accès dans certains types d'"application de définition de politique", par exemple sous la forme d'une liste de contrôle d'accès ou d'une capacité , ou d'un point d'administration de politique, par exemple XACML . Sur la base du " principe du moindre privilège " : les consommateurs ne doivent être autorisés à accéder qu'à ce dont ils ont besoin pour faire leur travail. Les systèmes d'exploitation plus anciens et mono-utilisateur avaient souvent des systèmes d'authentification et de contrôle d'accès faibles ou inexistants.

Les « consommateurs anonymes » ou « invités » sont des consommateurs qui n'ont pas été obligés de s'authentifier. Ils disposent souvent d'une autorisation limitée. Sur un système distribué, il est souvent souhaitable d'accorder l'accès sans exiger une identité unique. Les clés, les certificats et les tickets sont des exemples courants de jetons d'accès : ils accordent l'accès sans prouver l'identité.

Les consommateurs de confiance sont souvent autorisés à accéder sans restriction aux ressources d'un système, mais doivent être vérifiés pour que le système de contrôle d'accès puisse prendre la décision d'approbation de l'accès. Les « consommateurs partiellement de confiance » et les invités auront souvent une autorisation restreinte afin de protéger les ressources contre tout accès et utilisation inappropriés. La politique d'accès de certains systèmes d'exploitation accorde par défaut à tous les consommateurs un accès complet à toutes les ressources. D'autres font le contraire, insistant pour que l'administrateur autorise explicitement un consommateur à utiliser chaque ressource.

Même lorsque l'accès est contrôlé par une combinaison d'authentification et de listes de contrôle d'accès , les problèmes de maintenance des données d'autorisation ne sont pas anodins et représentent souvent une charge administrative aussi importante que la gestion des informations d'authentification. Il est souvent nécessaire de modifier ou de supprimer l'autorisation d'un utilisateur : cela se fait en modifiant ou en supprimant les règles d'accès correspondantes sur le système. L'utilisation de l'autorisation atomique est une alternative à la gestion des autorisations par système, où un tiers de confiance distribue en toute sécurité les informations d'autorisation.

En politique publique , l’autorisation est une caractéristique des systèmes de confiance utilisés à des fins de sécurité ou de contrôle social .

Dans le secteur bancaire , une autorisation est une retenue placée sur le compte d'un client lorsqu'un achat est effectué à l'aide d'une carte de débit ou d'une carte de crédit .

Dans le domaine de l'édition , des conférences publiques et d'autres textes librement disponibles sont parfois publiés sans l'autorisation de l' auteur . On les appelle des textes non autorisés. Un exemple en est « La théorie de tout : l'origine et le destin de l'univers » de 2002 , qui a été compilé à partir des conférences de Stephen Hawking et publié sans son autorisation conformément à la loi sur le droit d'auteur.