Was ist eine ACL (Zugriffskontrollliste)?

So funktionieren ACLs

Eine ACL ist eine Liste von Einträgen, bei denen jeweils ein Übereinstimmungskriterium einer Aktion („zulassen“ oder „verweigern“) zugeordnet ist. Das System, das die Liste durchsetzt, vergleicht eine Anfrage mit den Einträgen und wendet das Ergebnis der ersten Übereinstimmung an.

1. Anfrage geht ein: Ein Client oder ein Gerät versucht, eine Aktion auszuführen, beispielsweise eine DNS-Abfrage zu senden, einen Zonentransfer anzufordern oder ein Paket über einen Router weiterzuleiten.
2. Extrahierte Kriterien: Das durchführende System liest die Attribute aus, die die Liste für den Abgleich verwendet, üblicherweise die Quell-IP-Adresse und bei Netzwerkgeräten zusätzlich die Zieladresse, das Protokoll oder den Port. DNS-Server können den Abgleich auch anhand eines kryptografischen Schlüssels vornehmen.
3. Einträge werden der Reihe nach ausgewertet: Das System prüft die Einträge von oben nach unten. Die meisten Implementierungen halten beim ersten Eintrag an, der übereinstimmt, und wenden dessen Aktion an.
4. Angewandte Aktion: Ein „Permit“-Eintrag lässt die Anfrage zu. Ein „Deny“-Eintrag lehnt sie ab oder verwirft sie. Viele Systeme beenden die Liste mit einem impliziten „Deny“, sodass eine Anfrage, die keinem Eintrag entspricht, abgelehnt wird.

Da die Reihenfolge eine Rolle spielt, kann eine weit gefasste Zulassungsregel, die über einer eng gefassten Ablehnungsregel steht, diese unwirksam machen. In DNS-Servern regeln üblicherweise separate Listen verschiedene Funktionen wie Abfragen, Rekursion, Übertragungen und Aktualisierungen, sodass jede Funktion ihre eigene Zielgruppe haben kann. Adressbasierte Abgleiche können gefälscht werden, daher lassen sich sensible Vorgänge wie dynamische Aktualisierungen besser schützen, indem zusätzlich eine Authentifizierung wie TSIG verlangt wird.