باسێکی وردی Authentication و Authorization

لە نوسینی ئەمجارەمدا بە پێویستم زانی باسێکی وردی دوو چەمک بکەم کە ھەموو کەسێک لە بواری تەکنەلۆجیا زوو یان درەنگ توشیان دەبێت و دەبێت زانیاری ھەبێت لەسەریان ئەم دوو چەمکەش بریتین لە Authentication و Authorization، ئەم بابەتە زیاتر وردبینی دەخاتە سەر لایەنە تەکنیکیەکە چۆن کەسێکی پرۆگرامساز سوود لەم بابەتە وەرگرێت و بتوانێت بیرۆکەکانی خۆی لەناو سیستەم و ماڵپەرەکانیدا جێبەجێ بکات.

تێبینی: بە زمانی کوردی Authentication  بە مانای رەسەنایەتی دێت و authorization بە مانای رێگەپێدان دێت بۆ ئاسانکاری ئێمە ھەر چەمکە ئینگلیزیەکە بەکاردەھێنین بۆ ئەوەی لە داھاتوو گەر توشی ھەر یەکێک لەم چەمکانە بویت لێکیان جیا بکەیتەوە چونکە با راست بین لەگەڵ خۆمان کەس ئەم چەمکانە بە کوردی بەکارناھێنێت و کاتێکی زۆری دەوێت ببێتە ستاندارد.

Authentication چیە؟

Authentication بریتیە لە پرۆسەی دڵنیابوونەوە لە کەمێک زانیاری کە بەکارھێنەر پێیداوین بۆ ئەوەی رێگەی بدەین بچێتە ناو سیستەمێک کە پارێزراوە و پێویستی بە ھەندێک زانیاری ھەستیار ھەیە بۆ دڵنیابوونەوە لە ناسنامەی کەسەکە کەواتە Authentication بەواتای دڵنیابوونەوە لە ناسنامەی کەسێک.

Authorization چیە؟

دوای ئەوەی دڵنیابوویت لە ناسنامەی ئەو کەسەی کە سیستەمەکەت بەکار دەھێنێت دەبێت دڵنیا بیتەوە لەوەی کە ئەو بەکارھێنەرە دەتوانێت چی بکات و چی نەکات بەوەش دەڵێن Authorization.

جیاوازی نێوان Authentication و Authorization

زۆر جار لەبەر بەکارھێنانی ئەو دەستەواژە بریقەدارانەی کە لە بواری ئەکادیمی بەکاردێت مەبەستەکە بزر دەبێت بۆ تێگەشتن لێی و باشترین رێگا بۆ تێگەشتن نموونەیەکی سادەیە، با بڵێین تۆ ھەژمارێک ھەیە لە ماڵپەرێکی وەک درەختی گەشەپێدەران  بە پلەی بەشداربوو،

Authentication  ئەوەیە کە تۆ ناوی بەکارھێنەر و تێپەرەوشە بەکاردەھێنیت بۆ ئەوەی بسەلمێنیت کە ئەو ھەژمارە ھیتۆیە دوای ئەوەی کە سەلماندت بەشی Authorization دەسپێدەکات ئەویش ئەوەیە کە ھەژمارەکەت توانای ئەنجامدانی ھەندێک کاری ھەیە وەک لێدوان نوسین لەوانەشە بتوانێت بابەت بنوسێت بەڵام نەتوانێت بابەت دەسکاری بکات، کەواتە Authentication  و Authorization  دوو ھەنگاون لەدوای یەکتری بەو شێوەیە دەیسەلمێنیت کە ھەژمارێک ھیخۆتە کە ھەژمارەکە توانایەکی دیاری کراوی ھەیە بۆ ئەنجامدانی کردارەکان.

رێگاکانی  Authentication(خۆسەلماندن)

بە سوود وەرگرتن لەم بابەتە بەناوبانگرتین رێگاکانی Authentication  باسدەکەین

• SSL/TLS Mutual Authentication
• HTTP basic auth
• HTTP form-based auth
• DAA
• LTPA
• OAuth2
• OpenID
• OpenID Connect
• SAML2.0

1- (SSL (Secure Sockets Layer )/TLS(Transport Layer Security

بەشێکی گرنگی راژەکان ئەم دوو پرۆتۆکۆڵە بەکاردەھێنن بۆ پەیوەندی دروستکردن لەنێوان بەکارھێنەر و راژەدا لە رێگای بەڵگەنامەیەکەوە (certificate) کە بە بەکارھێنانی زانستی cryptography یەوە دروست دەکرێت وردەکاریەکانی ئەم جۆرە  Authentication نوسینی زۆری دەوێت و بە شێوەیەکی سەرەکی پشت بە دروستکردنی پەیوەندیەکی باوەرپێکراو دەبەستێت لەنێوان راژە و بەکارھێنەر لەوانەیە بەکارھێنەر ھەندێک زانیاری بۆ راژە بنێرێت لەوانە تێپەرەوشە یان ناوی بەکارھێنەر لە ھەندێک حاڵەتدا تۆ وەک بەکارھێنەر پێویست ناکات ھیچ بکەیت بەڵکو وێبگەرەکەت دروستکردنی ئەم پەیوەندیە دەگرێتە ئەستۆی خۆی بێ ئەوەی بێزار بکرێیت.

2-HTTP Basic Auth

(HTTP(Hypertext Transfer protocol ستاندارێکی جیھانیە بەکاردێت بۆ داواکردنی پەرەکانی ماڵپەر و میدا و پەرگەکان لە راژە، http دوو رێگا ھەیە بۆ Authentication  یەکێک لەوانە Simple Authentication   کە بە سادەترین جۆری خۆسەلماندن دادەنرێت کە تێیدا ناوی بەکارھێنەر و تێپەرە وشە لەگەڵ ھەر داواکاریەکی http دەنێریت لەرێگەی header ی http یەوە header ەکان کۆمەڵی زانیاری دەخەنە بەردەستی راژە بۆ ئەوەی چۆن مامەڵە لەگەڵ ئەم داواکاریانە بکات و چۆن وەڵامیان بداتەوە بۆیە تۆ لە راژەکەت دەتوانی ئەم ناوی بەکارھێنەرو تێپەرە وشەیە وەربگریتەوە لە رێگەی header ەوە، ھەر کاتێک زانیاریەکان نەنێردان بۆ راژە ئەوا وێبگەرەکەت داوای ئەو زانیاریە بزرانە دەکات کە دەبوایە لەناو header ەکانی داواکاریەکەت ھەبونایە

بۆیە دەبێت راژە رێگایەک بدۆزێتەوە بە ھەڵگرتنی ئەو زانیاریانە بۆ ماوەیەکی کاتی بۆ ئەوەی لەگەڵ ھەر داواکاریەک ناوی بەکارھێنەر و تێپەرەوشە پێویست نەبێت، شتێکی گرنگ ھەیە دەبێت بیزانین ئەویش بریتیە لەوەی کە زانیاریەکانت رێک وەک خۆێان دەنێردرێن و ھیچ ئینکریپشنێکیان لەسەر نیە بۆیە ھەر کەسێک لەسەر ھەمان نێتوۆرک بێت زۆر بە ئاسانی دەگات بەو زانیاریە ھەستیارانە بۆیە زۆربەی کات ئەم رێگایە لەگەڵ SSL/TLS دا بەکار دەھێنرێن چوونکە SSL/TLS ھەموو زانیاریەکان ئینکریپت دەکەن بۆیە ئەو کێشەیەت بۆ چارەسەر دەکەن

3- HTTP form-based auth

ئەمەیان بەربڵاوترین جۆری Authentication  ە کە تێیدا ئەو زانیاریانەی پێویستن لە رێگەی فۆرمێکی HTML ەوە دەنێردرێن بۆ سێرڤەر(راژە) لەوێدا گەشەپێدەرەکە بەرپرسە لەوەی چۆن مامەڵە لەگەڵ ئەو زانیاریانەدا دەکات و چۆن وادەکات بەکارھێنەر بۆ ماوەیەک login ببێت لە سیستەمەکەیدا، بە مانا زۆر سادەکەی کاتی فێربونی گەشەپیدانی وێب یەکەم کێشە توشی دەبیت کاتێک دەتەوێت ماڵپەرێکی داینەمیک(بزۆک) دروست بکەیت و داشبۆردێکی ھەبێت تێیدا بتوانیت گۆرانکاری لە ماڵپەرەکەت بکەیت دەبێت پەرەی چوونەژوورەوە دروست بکەیت و لە سێرڤەر ئەو زانیاریانەی لەو پەرەیەوە دێن ھەڵگریت.

4-(Digest Access Authentication (DAA

وشەی Digest بە مانا کوردیەکەی شتێک کە شیکرابێتەوە یان ھەرسکرابێت و لە بواری تەکنەلۆجیادا بە واتای ئەوەی کە ئەنجامی یەکێک لە ئەلگۆریسمەکانی hash کردنە لەو حاڵەتەی ئێمەدا MD5 ئەم رێگەیەی Authentication   نزیکە لە HTTP basic auth کە تێیدا کەمێک زانیاری لە header ی ‌HTTP ێەوە دەنێردرێت لێرەدا لەجیاتی ناوی بەکارھێنەر و تێپەرەوشە ئەنجامی ھاشکردنیان دەنێردرێت کە لە ئەلگۆریسمی MD5  ەوە درچووە باشی ئەم رێگایە لەوەدایە کە پێویستت بە کاناڵیکی پارێزراو نیە بۆ ناردنی زانیاریەکان SSL/TLS لەبەر ئەوەی زانیاریەکانت نەنێردراون بەڵکو ھاشی زانیاریەکان بەڵام ئەم رێگایە چیتر بەکار نایەت ھەرچەند زۆربەی وێبگەرەکان پشتگیری دەکەن چونکە ئەلگۆریسمی MD5 شکێندراوە و لەوانەیە collision روبدات ئەوەش مانای ئەوەیە دوو زانیاری جیا یەک ھاشیان ھەبێت کە قبوڵ نەکراوە ھەرچەندە ئەم رێگایە کەمێک پارێزراوتر دیارە لە  HTTP basic auth  بەڵام خۆراگر نیە بەرامبەر ھێرشی man-in-the-middle

5-(Lightweight Third-Party Authentication (LTPA

ئەمەیان رێگایەکە لە لایەن کۆمپانیای IBM ەوە پەرەی پێدراوە بیرۆکەکە لەوەیان ئەوەیە بەکارھێنەر خۆی دەسەلمێنێت بۆ سیستەمێک بەتەنھا بەڵام لە ھەمان کاتدا خۆی سەلماندووە بۆ ھەموو سیستەمە پەیوەندیدارەکان واتە تۆ لە یەک سیستەم دەچیتەژوورەوە و لە سیستەمەکانی دیکە بە شێوەیەکی خۆکارانە دەکرێتە ژورەوە بە واتایەکی دیکە کۆمەڵێک سیستەمت ھەیە بەکارھێنەرەکەت یەک ناوی بەکارھێنەر و تێپەرەوشە بەکاردەھێنێت بۆ ئەوەی خۆی بۆ ھەموو سیستەمەکان بسەلمێنێت، ئەم کردارەش لە رێگەی cookie ێکەوە دەبێت کە کاتی چوونەژوورەوە دروست دەبێت و ئەم کووکیە دەنێردرێت بۆ سیستەمەکانی دیکە کاتێک دەکرێنەوە و کوکیەکە ئینکریپت کراوە واتە کراوە بە کۆد راژەکەی ئەم کوکیەی وەرگرتووە دەتوانێت ئەم کووکیە بکاتەوە بە زانیاریەکان و ناوی بەکارھێنەر و تێپەرەوشە دروست بکاتەوە، ئەم رێگایە مەرج نیە پێویستی بە پەیوەندیەکی پارێزراوەوە ھەبێت وەک SSl/TLS چوونکە زانیاریەکان ئینکریپت کراون بەڵام گرنگیشە ئەم کووکیە تەنھا دەبێت راژە دەستی پێبگات بۆیە تایبەتمەندی  HttpOnly flag کارا دەکرێت لەسەر کووکیەکە بۆ ئەوەی پارێزراوبێت لە ھێرشی cross-site scripting، ئەوەی پێویستە تێبینی بکرێت لێرەدا ئەو رێگایە بەس لە تەکنیکی کووکیەکە دەکات و دەبێت رێگایەکی دیکەی خۆ سەلماندنی لەگەڵ بەکاربھێنرێت بۆ ئەوەی بتوانرێت کووکیەکە دروست بکرێت.

6-OAuth2

لە راستیدا رێگایەکی رێگەپێدانە authorization کە تێیدا ئەو کەسەی کە سیستەمەکەی دروست کردوە (دابینکەر) ھەندێک resource(سەرچاوە) دابەش دەکات بەسەر بەکاربەرکانی بەواتای ئەوەی کەسی بەکاربەر نەتوانێت ھەموو شتێک بکات بە گوێرەی resource ەکەی کە پێدراوە و شتێک دروست دەبێت کە پێی دەڵێن AccessToken کە لە نوسینێکی تێکەڵ و ھەرەمەکی دەچێت بەڵام لە راستیدا زۆر تایبەتە بەو بەکارھێنەرە کە دەتوانێت ھەموو کردارێکی پێ بکرێت کە ئەو بەکارھێنەرە دەتوانێت بیکات، پیش ئەوەی ھەموو ئەمانە رووبدات کەسی گەشەپێدەر دەبێت خۆی بسەلمێنێت بە پێدانی زانیاری دەربارەی سیستەمەکەی و ماڵپەر و چۆنیەتی پەیوەندیکردن, و کاتێک بەکارھێنەر داوای resource ێک دەکات دەبێت یەکەم جار خۆی سەلماندبێت بۆ گەشەپێدەر یان دابینکەر ئەو کاتە سەیری ئەوە دەکرێت کە ئایە ئەو بەکارھێنەرە توانای ئەو کردارەی ھەیە کە داوای کردوە بۆ سەر ئەو resource ە.

7-OpenID

ستاندارێکی سەرچاوە کراوەیە تایبەتە بە خۆسەلماندن Authentication   دابینکەری زۆر ھەن بۆ openid لەوانە (Google, Yahoo, Flickr, WorkPress)لەوانەیە لە LTPA نیزک بێت بەڵام لێرەدا بەکارھێنەر ھەژماری خۆی دروست دەکات و کەمێک زانیاری تێدا دادەنێت دوای ئەوە دەتوانێت خزمەتگوزاریەکانی دابینکەرێک بەکاربھێنێت بە ھەمان ھەژمار بۆ نموونە لە گووگڵ چویتەژوورەوە لە gmail ئەوە راستەوخۆ بێ ئەوەی دوبارە پرست پێ بکرێتەوە دەتوانیت بە ھەمان ھەژمار لێدوان بۆ ڤیدیۆکانی youtube بنوسیت، نمونەیەکی دیکە گراڤاتاری وۆردپرێسە یەک ھەژمار دروست دەکەیت و لە ھەر ماڵپەرێکی وۆردپرێس لێدوان بنوسیت زانیاری ناو ھەژمارەکەت نیشاندەدرێت وەک وێنەی پرۆفایلەکەت.

8-OpenID Connect

تەنھا وەشانێکی دیکەیە لە OpenId کە لەگەڵ OAuth2 بەکاردەھێندرێت و چینی خۆسەلماندن بۆ OAuth2  دەستەبەر دەکات

9-(Security Assertion Markup Language (SAML

ستاندەرێکی سەرچاوەکراوەی پشت بەستوو بە زمانی XML ە بۆ خۆسەلماندن و رێگەپێدان بەکاردەھێندرێت و توانای گواستنەوەی زانیاری بەکارھێنەری ھەیە و وەشانی یەکەمی SAML تەکنیکی SOAP بەکار دەھێنا بە پشتبەستن بە HTTP بەڵام لە وەشانی دووەم SOAP مەرج نیە بەکاربھێندرێت SAML و OIDC دوو رێگای جیاوازن بۆ شیکارکردنی ھەمان کێشەی ریگەپێدان و خۆسەلماندن.

ئەمە باسێکی وردی خۆسەلماندن Authentication بوو ئێستا دەسدەکەین بە رێگەپێدان Authorization  کە بەرای من خۆشترە لە باسکردنی خۆسەلماندن چوونکە زیاتر بواری تەکنیکی پێوە دیارە ئەمە لە کاتێکدا ھەردووکیان لە ھەمان ئاستدان چوونکە ھەردوکیان زۆر تەکنیکین ئەگەر بیریان لێبکەیتەوە ئەمە تەنھا باسی تەکنیکەکان بوون و دەتوانیت بەدوایان دابچیت بۆ ئەوەی لە سیستەمەکانتدا بەکاریان بھێنیت.

رێگاکانی رێگەپێدان Authorization

ستانداری رێگەپێدان زۆرن لەوانە OAuth2 بەڵام ھەندێک رێگە باسدەکەم کە کەسێک بتوانێت بۆخۆی سیستەمێکی رێگەپێدان دروست بکات یان سیستەمێک و رێگایەک بەکار بھێنێت کە کارەکانی زۆر لەسەر ئاسان دەکەن دوو نزیکبوونەوە ھەن Approach لەم بابەتەدا کە باسیان دەکەم

• (Access Control List(ACLs
• (Role Based Access Control (Rbac

پێش دەسپێبکەین دەبێت کەمێک زاروە روونبکەمەوە

resource: ھەر شتێک بێت کە ئێمە بمانەوێت کۆمەڵێک یاسای لەسەر دابنێن بۆ نموونە بەس بەرێوبەر بتوانێت دەسکاری بابەت بکات بابەت لێرەدا resource ە

permission: بریتیە لە رێگەپێدان بۆ نموونە توانای دەسکاری کردن یان توانای سرینەوە یان توانای خوێندنەوەی  resource ێک

role: ھەر رۆڵێک کۆمەڵێک پێرمیشین ی ھەیە و ھەر رۆڵێک ناوێکی ھەیە وەک بەرێوبەر رۆلی بەرێوبەر لەوانەیە پێرمیشنی ھەموو شتێکی ھەبێت بەڵام رۆڵی نوسەر تەنھا توانای(Permission) نویسنی بابەتی ھەبێت.

1- Access Contol List

ئەم رێگایە بەم شێوەیە کاردەکات تۆ خشتەکێک(Table) دروست دەکەیت کە ستوونەکانت(column) وەل پێرمیشنەکە ھەڵسوکەوت دەکەن و ریزەکانت(row) ەکان وەک رۆڵەکان کاردەکەن 

بۆ نموونە ریزی HR Managers سەیر بکەیت ناتوانێت Publish بکات بەڵام دەتوانیت View Content  بکات بەو شێوازە سەیری OSAdmins بکە دەتوانێت ھەموو کردارێک ئەنجام بدات جا تۆ کاتێک بەکارھێنەرەکانت دروست دەکەیت یەکێک لەو رۆڵانە یان زیاتریان پێدەدەیت و دەتوانن کاری خۆیان بکەن

بەڵام گرنگە لەوە ئاگاداربیت کە ئەم رێگایە تەنھا بۆ سیستەمی بچووک بەکەڵک دێت و زۆر نەرم نیە بۆ گۆرانکاری بۆ نمونە گەر ویستت پێرمیشنێکی نوێ زیاد بکەیت بەناوی Post Article  کە دەکاتە ستونی Post Article  ئەوا دەبێت بۆ ھەموو رۆڵەکان پێناسەی بکەیت ئەگەر نا لەوانەیە ببێتە ھۆی ئەوەی کە کەسێک ئەو پێرمیشنەی نیەو دەتوانێت بابەت پۆست بکات خراپیەکانی ئەم سیستەمە

1. سیستەمی گەورە پێمیشنی زۆر زۆری ھەیە
2. کاتێک بەکارھێنەرێکت پلەکەی دەگۆرێت ئەوا دەبێت پێرمیشنەکەشی بگۆردرێت بۆ نموونە بەرێوبەرێکی HR پلەی بەرزدەکرێتەوە بۆ سەرپەرشتیاری بەشێکی کۆمپانیا ئەوا دەبێت رۆڵەکەی لە سیستەم بگۆردرێت
3. گۆرانکاری ئەگەر بێت و 100،000 پێرمیشنت ھەبێت ئەوا ستافێکی گەورەت دەوێت تەنھا رۆڵەکان و پێرمیشنەکان بەرێوەببەن
4. یەک ھەڵەی بچووک بکرێت لە پێدانی پێرمیشنێک لەوانەیە کارمەندێکی سادەت بتوانێت بەکارھێنەرانی سیستەم بسرێتەوە بۆیە ھیچ شوێنێک نیە بۆ ھەڵەکردن

2- Role Based Access Control

ئەو رێگایەیان دەبێت بە دوو بەشەوە Level1 و Level2 کە ھەردوکیان لە ستانداری رێکخراوی جیھانی NIST ن

 NIST Level 1 standard RBAC

لێرەدا سیستەمەکە بەم جۆرە رێکدەخرێت

پێرمیشنەکان بە جیا پێناسە دەکرێن و رۆڵەکان یش پێناسە دەکرێن دوای ئەوە بەرێوبەری ئاسایشی ئەلیکترۆنی بریار لەوە دەدات کە کامە رۆڵ چ پێرمیشنێکی ھەبێت ئەمە بەرەوپێشچوونێکی زۆر باش بوو بەڵام ھەر کێشەی ھەبوو ھەندێک خاڵ لەوانە کە پێوستە بگوترێت

1. پێرمیشنەکان ھەر زۆر بوون و بەرێوەبردنیان کاریكی گرانە
2. کێشەی ئەوە چارەسەر کرا کاتێک کەسێک پلەکەی گۆرا ئەوا لە سیستەم تەنھا پێویستە بڵیی ئەو بەکارھێنەرە ئەو رۆڵەی ھەیە
3. بەرێوەبردنی پێرمیشنەکانی یەک رۆڵ کارێكی ئاسانە
4. پێرمیشنەکانی رۆڵێکی دیاریکراو دەتوانرێت بە ئاسانی سەیربکرێت بۆ ئەوەی ھەڵەکان بە ئاسانی بدۆزرێنەوە

NIST Level 2 standard RBAC

ئاستی دووەمی ئەم ستانداردەی رێکخراوی NIST ھەمان بیرۆکەیە بۆ رۆڵ و پێرمیشنەکان بەڵام لەگەڵ ئەوەی دەبێت رۆل و پێرمیشنەکان لەسەر شێوازی Tree بن واتە ھەندێک رۆڵ ببن بە وەچەی ھەندێکی تر

ھەروەک دەبینیت root بریتیە لە باوانی ھەموو رۆلەکانی دیکە بەمانای ئەوە دێت root دەتوانێت ھەموو کردارەکانی وەچەکانی خۆی بکات بەڵام مەرج نیە وەچەیەک بتوانێت کرداری باوانی خۆی بکات بۆ نموونە من بەرێوەبەری ماڵپەرم کەواتە ئەو رێگەپێدانەی کە من ھەمە root  ە بەڵام نووسەریش ھەن کە دەتوانن بابەت بنوسن بەڵام منیش دەتوانم بابەت بنوسم کەواتە رۆڵی نوسەر لەم ماڵپەرەدا وەچەی رۆڵی root  ە من دەتوانم کارەکانی نوسەرێک بکەم بەڵام نوسەرێک ناتوانێت کارەکانی من ئەنجام بدات، بەم شێوەیە ئەم رێگایە دەبێت بە یەکێک لە باشترین و ئاسانترین رێگاکانی رێگەپێدان ھەر کاتێک پێرمیشنێکم بۆ رۆڵی نووسەر زیادکرد ئەوا خودکارانە منیش بەرێوەبەری ماڵپەر ھەمان پێرمیشنم دەبێت چونکە نووسەر وەچەی رۆڵی بەرێوەبەرە. ئەم وێنەیەی سەرەوە لەوانەیە زیاتر لە مەبەستم روونبکاتەوە وەک نموونەیەکی دیکە سەیری بکە پێم خۆشە ئاماژە بە لایبرەریەکی php بکەم کە زۆر سودم لێی بینیوە بۆ نوسینی ئەم بابەتە کە زۆر ئاسانە بۆ بەکارھێنان و دڵنیام کاری چەند ھەفتەیەکی ناخۆشی گەشەپێدانتان بۆ دەگەرێنێتەوە.

کۆتایی

ئەمە بریتی بوو لە باسێکی وردی خۆسەلماندن و رێگەپێدان لەوانەیە کەمو کوری ھەبێت بەڵام وەکو سەرەتایەک و ھەموو بیرۆکەیەکی پێویستت پێدەدات بۆ ئەوەی دەسبکەی بە قوڵبوونەوە لەو لایبرەری و تەکنیک و ستاندەرانەی کە لەم بابەتەدا باسکراون، ئەم چەند لینکەی خوارەوەش سەرچاوەی ھەندێک بابەتن کە سودم لێیان وەرگرتوە بۆ نوسینی ئەم بابەتە

1. PHP-RBAC
2. Web Authentication Schemes
3. Access control list