Đây là cách tiếp cận kết hợp giữa danh sách quyền truy xuất và danh sách khả năng. Mỗi đối tượng sở hữu một danh sách các mã nhị phân, được gọi là « khoá »
(lock). Cũng như thế, mỗi miền bảo vệ sẽ sở hữu một danh sách mã nhị phân gọi là « chìa » (key). Một tiến trình hoạt động trong một miền bảo vệ chỉ có thể truy xuất đến một đối tượng nếu miền bảo vệ sở hữu một chìa tương ứng với một khóa trong danh sách của đối tượng.
Cũng như C_List, danh sách « khóa » và « chìa » được hệ điều hành quản lý, người sử dụng không thể truy xuất trực tiếp đến chúng để thay đổi nội dung.
1.6.5.5.Thu hồi quyền truy xuất
Trong một hệ thống bảo vệ động, đôi khi hệ điều hành cần thu hồi một số quyền truy xuất trên các đối tượng được chia sẻ giữa nhiều người sử dụng. Khi đó đặt ra một số vấn đề như sau:
Thu hồi tức khắc hay trì hoãn, trì hoãn đến khi nào ?
Nếu loại bỏ một quyền truy xuất trên một đối tượng, thu hồi quyền này trên tất cả hay chỉ một số người sử dụng ?
Thu hồi một số quyền hay toàn bộ quyền trên một đối tượng ? Thu hồi tạm thời hay vĩnh viễn một quyền truy xuất ?
Đối với các hệ thống sử dụng danh sách quyền truy xuất, việc thu hồi có thể thực hiện dễ dàng: tìm và hủy trên ACL quyền truy xuất cần thu hồi, như vậy việc thu hồi được thực hiện tức thời, có thể áp dụng cho tất cả hay một nhóm người dùng, thu hồi toàn bộ hay một phần và thu hồi vĩnh viễn hay tạm thời đều được.
Tuy nhiên trong các hệ sử dụng C_List, vấn đề thu hồi gặp khó khăn vì các tiềm năng được phân tán trên khắp các miền bảo vệ trong hệ thống, do vậy cần tìm ra chúng trước khi loại bỏ. Có thể giải quyết vấn đề này theo nhiều phương pháp:
Tái yêu cầu (Reacquisiton): Loại bỏ các tiềm năng ra khỏi mỗi miền bảo vệ sau từng chu kỳ, nếu miền bảo vệ vẫn còn cần tiềm năng nào, nó sẽ tái yêu cầu tiềm năng đó lại.
Sử dụng các con trỏ đến tiềm năng (Back-pointers): Với mỗi đối tượng, lưu trữ các con trỏ đến những tiềm năng tương ứng trên đối tượng này. Khi cần thu hồi quyền truy xuất nào trên đối tượng, lần theo các con trỏ để cập nhật tiềm năng tương ứng.
Sử dụng con trỏ gián tiếp (Indirection): Các tiềm năng không trực tiếp trỏ đến các đối tượng, mà trỏ đến một bảng toàn cục do hệ điều hành quản lý. Khi cần thu hồi quyền, sẽ xoá phần tử tương ứng trong bảng này.
Khóa (Key): Nếu sử dụng cơ chế khóa và chìa, khi cần thu hồi quyền, chỉ cần thay đổi khóa và bắt buộc tiến trình hay người dùng yêu cầu chìa mới.