Control por relaciones y grafos de permisos

En el control por relaciones, el permiso se deduce de un grafo. Cada arista es una tupla: un objeto, una relación y un sujeto. Por ejemplo, «el documento X tiene como editor al grupo Y». Las reglas de derivación dicen cómo se propagan las relaciones: editar implica leer, y lo que cuelga de una carpeta hereda lo que la carpeta concede.

El diseño más citado de este estilo es Zanzibar, el sistema de autorización de Google, descrito en un artículo de 2019 (USENIX ATC). Muchos productos de autorización por relaciones lo toman como referencia. En Pitayal el modelo es una versión pequeña e inventada para el laboratorio.

La fortaleza es que los permisos siguen la estructura de los datos. La debilidad es que el acceso de una persona ya no se ve en una sola línea: hay que recorrer el grafo.

Abre el laboratorio. En la carpeta pitayal hay dos archivos: modelo.txt con las reglas de derivación (D1 a D5) y tuplas.txt con las relaciones. Con ls ves la carpeta y con cat lees cada uno.

Para saber quién edita el documento presupuesto, sube por la relación padre: su carpeta, la carpeta de esa carpeta, y mira quién es editor ahí. Después baja por los grupos anidados hasta las personas. Cuenta personas distintas, no grupos.

Los grupos anidados son una fuente clásica de acceso que nadie recuerda haber dado. Una persona entra a un grupo pequeño y, sin que nadie lo escriba en la carpeta, queda dentro de otro más grande porque el pequeño es miembro del grande.

En tuplas.txt, el grupo obra tiene como miembro a otro grupo. Ese otro grupo es la razón por la que dos personas de diseño pueden editar la carpeta del proyecto.

El estudio comparte con un cliente las actas de obra, pero no su presupuesto interno. Revisa si lo cumple: una persona externa, que aparece en un grupo llamado externos, figura también como lector directo de una carpeta. Por la regla de herencia, ser lector de esa carpeta alcanza todo lo que cuelga de ella.

Un grafo se corrige quitando o cambiando aristas, y cada corte tiene un alcance. Piensa en lo que pasa si se borra la tupla que dice que casa-roble-costos tiene como padre a casa-roble: la carpeta de costos queda sola en el grafo, y lo que se heredaba por esa arista deja de heredarse.