En seguridad informática , el control de acceso discrecional ( DAC ) es un tipo de control de acceso definido por los Criterios de evaluación de sistemas informáticos de confianza [1] (TCSEC) como un medio para restringir el acceso a objetos en función de la identidad de los sujetos y/o grupos a los que pertenecen. Los controles son discrecionales en el sentido de que un sujeto con un determinado permiso de acceso es capaz de pasar ese permiso (quizás indirectamente) a cualquier otro sujeto (a menos que esté restringido por un control de acceso obligatorio ).
El control de acceso discrecional se suele analizar en contraste con el control de acceso obligatorio (MAC). En ocasiones, se dice que un sistema en su conjunto tiene un control de acceso "discrecional" o "puramente discrecional" cuando dicho sistema carece de control de acceso obligatorio. Por otra parte, los sistemas pueden implementar tanto MAC como DAC simultáneamente, donde DAC se refiere a una categoría de controles de acceso que los sujetos pueden transferir entre sí, y MAC se refiere a una segunda categoría de controles de acceso que impone restricciones a la primera.
El significado del término en la práctica no es tan claro como la definición dada en el estándar TCSEC, porque la definición de DAC de TCSEC no impone ninguna implementación. Existen al menos dos implementaciones: con propietario (como un ejemplo generalizado) y con capacidades. [2]
El término DAC se utiliza habitualmente en contextos que suponen que cada objeto tiene un propietario que controla los permisos para acceder al objeto, probablemente porque muchos sistemas implementan DAC utilizando el concepto de propietario. Pero la definición de TCSEC no dice nada sobre los propietarios, por lo que técnicamente un sistema de control de acceso no tiene que tener un concepto de propiedad para cumplir con la definición de DAC de TCSEC.
Los usuarios (propietarios) tienen, en virtud de esta implementación de DAC, la capacidad de tomar decisiones de política y/o asignar atributos de seguridad. Un ejemplo claro es el modo de archivo Unix , que representa escritura, lectura y ejecución en cada uno de los 3 bits para cada uno de los usuarios, grupos y otros (se antepone a este bit otro que indica características adicionales).
Como otro ejemplo, a veces se dice que los sistemas de capacidad proporcionan controles discrecionales porque permiten a los sujetos transferir su acceso a otros sujetos, aunque la seguridad basada en capacidad no consiste fundamentalmente en restringir el acceso "en función de la identidad de los sujetos". En general, los sistemas de capacidad no permiten que se transfieran permisos "a cualquier otro sujeto"; el sujeto que desea transferir sus permisos debe tener primero acceso al sujeto que los recibe, y los sujetos generalmente solo tienen acceso a un conjunto estrictamente limitado de sujetos, de acuerdo con el principio del mínimo privilegio .