الامتياز (الحوسبة)

في مجال الحوسبة، تُعرَّف الامتيازات بأنها تفويض صلاحية تنفيذ وظائف ذات صلة بالأمان على نظام حاسوبي. ^{[ 1 ]} تسمح الامتيازات للمستخدم بتنفيذ إجراءات ذات تبعات أمنية. ومن أمثلة الامتيازات المختلفة القدرة على إنشاء مستخدم جديد، أو تثبيت برامج، أو تغيير وظائف النواة.

يُطلق على المستخدمين الذين مُنحوا مستويات إضافية من التحكم اسم المستخدمين ذوي الامتيازات. أما المستخدمون الذين يفتقرون إلى معظم الامتيازات فيُعرفون باسم المستخدمين العاديين أو غير ذوي الامتيازات.

يمكن أن تكون الامتيازات تلقائية، أو ممنوحة، أو يتم التقدم بطلب للحصول عليها.

تُمنح امتيازات تلقائية عندما لا يكون هناك شرط للحصول على إذن لتنفيذ إجراء ما. على سبيل المثال، في الأنظمة التي تتطلب تسجيل الدخول لاستخدامها، لا يتطلب تسجيل الخروج أي امتياز. أما الأنظمة التي لا تُطبّق حماية الملفات - مثل MS-DOS - فتمنح فعليًا امتيازات غير محدودة لتنفيذ أي إجراء على الملف.

تُمنح الصلاحيات نتيجةً لتقديم بيانات اعتماد إلى الجهة المانحة للصلاحيات. ويتم ذلك عادةً بتسجيل الدخول إلى النظام باستخدام اسم المستخدم وكلمة المرور ، وإذا كان اسم المستخدم وكلمة المرور صحيحين، يُمنح المستخدم صلاحيات إضافية.

يتم طلب الامتياز إما عن طريق برنامج مُنفَّذ يُصدر طلبًا للحصول على امتيازات متقدمة، أو عن طريق تشغيل برنامج آخر لطلب هذه الامتيازات الإضافية. ومن الأمثلة على ذلك، أمر sudoتشغيل أمر بصلاحيات المستخدم الجذر ( root ) ، أو نظام مصادقة Kerberos .

تتميز معالجات البنى الحديثة بتعدد أوضاع وحدة المعالجة المركزية، مما يسمح لنظام التشغيل بالعمل بمستويات صلاحيات مختلفة . بعض المعالجات لها مستويان (مثل المستخدم والمشرف )؛ بينما معالجات i386 وما بعدها لها أربعة مستويات (#0 للصلاحيات الأعلى، #3 للصلاحيات الأدنى). تُصنّف المهام بمستوى صلاحيات محدد. كما تُصنّف الموارد (القطاعات، والصفحات، والمنافذ، إلخ) والتعليمات ذات الصلاحيات المحددة بمستوى الصلاحيات المطلوب. عندما تحاول مهمة ما استخدام مورد، أو تنفيذ تعليمة ذات صلاحيات محددة، يتحقق المعالج من امتلاكها الإذن (وإلا، يتم توليد مقاطعة "خطأ حماية"). هذا يمنع مهام المستخدم من إلحاق الضرر بنظام التشغيل أو ببعضها البعض.

في برمجة الحاسوب، قد تحدث استثناءات متعلقة بانتهاكات التعليمات ذات الامتيازات عند الوصول إلى مصفوفة خارج نطاقها، أو عند محاولة الوصول إلى مؤشر غير صالح في موقع ذاكرة ذي امتيازات، مثل موقع يتحكم في إدخال/إخراج جهاز. ويزداد احتمال حدوث ذلك في لغات برمجة مثل لغة C ، التي تستخدم حساب المؤشرات أو لا تتحقق من حدود المصفوفة تلقائيًا.

في الأنظمة الشبيهة بنظام يونكس ، يمتلك المستخدم المتميز (المعروف باسم "root") جميع الصلاحيات. أما المستخدمون العاديون، فلا تُمنح لهم سوى الصلاحيات اللازمة لإنجاز مهامهم الأساسية. تتميز أنظمة يونكس بميزات أمان مُدمجة. لا يستطيع معظم المستخدمين إنشاء حساب مستخدم جديد أو القيام بأي إجراءات إدارية أخرى. يُعد المستخدم "root" مستخدمًا خاصًا، يُطلق عليه اسم "المستخدم المتميز"، والذي يُمكنه القيام بأي شيء على الإطلاق في النظام. هذه الصلاحيات الواسعة ضرورية لإدارة نظام يونكس بشكل كامل، ولكنها قد تسمح أيضًا للمستخدم بارتكاب خطأ والتسبب في مشاكل في النظام.

لا يستطيع المستخدمون غير المميزين عادةً القيام بما يلي:

• اضبط خيارات النواة ؛
• تعديل ملفات النظام، أو ملفات المستخدمين الآخرين.
• تغيير ملكية أي ملفات؛
• تغيير مستوى التشغيل (على الأنظمة ذات نمط التهيئة System V )؛
• قم بتغيير وضع الملف لأي ملفات؛
• ضبط حدود وحدة المعالجة المركزية أو حصص القرص ؛
• بدء وإيقاف وإزالة البرامج الخفية ؛
• عمليات الإشارة الخاصة بالمستخدمين الآخرين؛
• إنشاء عقد الأجهزة ؛
• إنشاء أو إزالة المستخدمين أو المجموعات؛
• تركيب أو إلغاء تركيب وحدات التخزين (على الرغم من أنه أصبح من الشائع السماح للمستخدمين العاديين بتركيب وإلغاء تركيب الوسائط القابلة للإزالة ، مثل الأقراص المدمجة - يتم ذلك عادة عبر FUSE )؛
• تنفيذ محتويات أي sbin/دليل (على الرغم من أنه أصبح من الشائع ببساطة تقييد سلوك هذه البرامج عند تنفيذها بواسطة المستخدمين العاديين)؛
• ربط المنافذ الأقل من 1024.

في أنظمة ويندوز إن تي ، تُمنح الصلاحيات بدرجات متفاوتة. ويمكن تحديد هذه الصلاحيات باستخدام مدير سياسات الأمان المحلي secpol.msc. فيما يلي قائمة مختصرة بالصلاحيات الافتراضية:

• يُعدّ "NT AUTHORITY\System" أقرب ما يكون إلى المستخدم الخارق في الأنظمة الشبيهة بنظام يونكس . فهو يتمتع بالعديد من امتيازات المستخدم الخارق الكلاسيكي في نظام يونكس (مثل كونه مسؤولاً عن كل ملف يتم إنشاؤه)؛
• يُعد "المسؤول" أحد أقرب المكافئات للمستخدم الخارق (root) في الأنظمة الشبيهة بنظام يونكس. ومع ذلك، لا يستطيع هذا المستخدم تجاوز العديد من حمايات نظام التشغيل التي يستطيع المستخدم الخارق تجاوزها؛
• يتمتع أعضاء مجموعة "المسؤولين" بامتيازات تكاد تساوي امتيازات "المسؤول"؛
• يتمتع أعضاء مجموعة "المستخدمين المتقدمين" بالقدرة على تثبيت البرامج وإجراء نسخ احتياطية للنظام.
• أعضاء مجموعة "المستخدمين" هم بمثابة المستخدمين غير المميزين في الأنظمة الشبيهة بنظام يونكس.

يُحدد نظام ويندوز عددًا من الصلاحيات الإدارية ^{[ 3 ]} التي يُمكن منحها بشكل فردي للمستخدمين و/أو المجموعات. يمتلك الحساب (المستخدم) فقط الصلاحيات الممنوحة له، سواءً بشكل مباشر أو غير مباشر من خلال عضويات المجموعات. عند التثبيت، يتم إنشاء عدد من المجموعات والحسابات ومنحها الصلاحيات. مع ذلك، يُمكن تغيير هذه الصلاحيات لاحقًا أو من خلال سياسة المجموعة . على عكس نظام لينكس، لا تُمنح أي صلاحيات ضمنيًا أو بشكل دائم لحساب مُحدد.

بعض الصلاحيات الإدارية (مثل امتلاك أو استعادة ملفات معينة) تتمتع بقوة هائلة، لدرجة أنها قد تؤدي، في حال استخدامها لأغراض خبيثة، إلى اختراق النظام بأكمله. مع ميزة التحكم في حساب المستخدم (المفعلة افتراضيًا منذ نظام التشغيل Windows Vista )، يقوم نظام Windows بسحب هذه الصلاحيات من رمز المستخدم عند تسجيل الدخول. وبالتالي، حتى لو قام المستخدم بتسجيل الدخول باستخدام حساب يتمتع بصلاحيات نظام واسعة، فلن يتمكن من استخدام هذه الصلاحيات. عندما يرغب المستخدم في تنفيذ إجراءات إدارية تتطلب أيًا من صلاحيات النظام، فسيتعين عليه القيام بذلك من خلال عملية ذات صلاحيات إدارية . عند تشغيل عملية ذات صلاحيات إدارية ، يتم تنبيه المستخدم إلى أنه يتم تفعيل صلاحياته الإدارية من خلال مطالبة تطلب موافقته. إن عدم الاحتفاظ بالصلاحيات إلا عند الحاجة الفعلية إليها يتماشى مع مبدأ أقل الصلاحيات .

ستعمل العمليات ذات الصلاحيات المرتفعة بكامل صلاحيات المستخدم ، وليس بكامل صلاحيات النظام . ومع ذلك، قد تتجاوز صلاحيات المستخدم ما هو مطلوب لتلك العملية تحديدًا، وبالتالي لا تُطبّق مبدأ أقل الصلاحيات بشكل كامل .

كانت أنظمة التشغيل Windows ME و Windows 98 و Windows 95 والإصدارات السابقة من أنظمة Windows غير NT التي تعمل بنظام DOS تعمل فقط على نظام الملفات FAT، ولم تكن تدعم أذونات نظام الملفات ^{[ 4 ]} وبالتالي يتم تعطيل الامتيازات بشكل فعال على أنظمة Windows NT التي لا تستخدم نظام الملفات NTFS .

• أذونات نظام الملفات
• النواة (نظام التشغيل)
• مبدأ أقل الامتيازات
• المستخدم المتميز
• تصعيد الامتيازات