Discretionary Access Control (DAC)

Die Discretionary Access Control ist die am weitesten verbreitete Zugriffskontrollstrategie. Die DAC wird häufig auch als Identity Based Access Control (IBAC) bezeichnet. Frei übersetzt werden kann dies mit benutzerbestimmbarer oder identitätsbasierte Zugriffskontrollstrategie. Ob der Zugriff auf ein Object (Datei, Ressource) erlaubt wird, wird allein auf der Basis der Identität des Subjektes (Benutzer, Prozess) entschieden. Die Zugriffsrechte werden also von den Benutzern selbst und je Benutzer festgelegt.

Während dieses Modell genügt, damit ein Benutzer seine eigenen Daten schützen kann, ist es häufig nicht ausreichend, um aus Unternehmenssicht oder aus Sicht des Administrators ein System ausreichend zu schützen.

So ist zum Beispiel auf einem UNIX-System es nur unter Anwendung des DAC-Modells nicht möglich, einem Benutzer das Recht zu geben, sein Kennwort zu ändern. Hierzu benötigt der Benutzer erweiterte Rechte. Diese erhält er in Form des SetUID-Bits auf dem Befehl /usr/bin/passwd. So erhält der von dem Benutzer gestartete Prozess die Rechte des Administrators root. Besitzt der Prozess eine Sicherheitslücke, besteht die Gefahr, dass der Benutzer nun auf alles zugreifen kann, auf dass auch root zugreifen kann.