كيف يعمل التحكم في الوصول (RBAC، مبدأ الامتيازات الأقل)؟

Question

Accepted Answer

**التحكم في الوصول** يحدد ما يمكن للمستخدمين المصرح لهم القيام به — من خلال نماذج مثل **RBAC** (التحكم في الوصول القائم على الأدوار) ومبادئ مثل **مبدأ الامتيازات الأقل**. التحكم في الوصول الصحيح حرج، لأن التحكم في الوصول المعطل هو الثغرة الأمنية رقم 1 لدى OWASP.

## نماذج التحكم في الوصول

```text
RBAC (Role-Based Access Control) → assign users to ROLES; roles have PERMISSIONS:
  → user → role(s) (admin, editor, viewer) → permissions → access decisions
  → manageable, common; change a role's permissions, all its users update
ABAC (Attribute-Based) → decisions based on ATTRIBUTES (user, resource, context) → flexible,
  fine-grained (e.g. "editors can edit docs in their department during business hours")
ACLs → per-resource lists of who can do what
```

## مبدأ الامتيازات الأقل

```text
LEAST PRIVILEGE → grant the MINIMUM access needed to do the job, nothing more:
  → limits the BLAST RADIUS if an account/component is compromised
  → applies to users, services, processes, database accounts, API keys, etc.
→ a foundational security principle (default to LESS access; grant more only as needed)
```

## تنفيذ التحكم في الوصول بشكل آمن

```text
⚠️ BROKEN ACCESS CONTROL is OWASP #1 — common and serious:
✓ ENFORCE authorization on the SERVER for EVERY protected action/resource (never trust
  the client; don't rely on hiding UI elements)
✓ Check the user is authorized for the SPECIFIC resource (prevent IDOR — accessing
  others' data by changing an ID)
✓ DENY by default; verify on each request; centralize authorization logic
✓ Test access control (a common gap — easy to miss authorization checks)
```

## لماذا هذا مهم

فهم التحكم في الوصول مهم لأنه **يحدد ما يمكن للمستخدمين القيام به وهو حرج للأمان** — التحكم في الوصول المعطل هو الثغرة الأمنية رقم 1 لدى OWASP — لذا فهو معرفة أمنية قيمة وحرجة عملياً.

التحكم في الوصول يحدد ما يُسمح للمستخدمين المصرح لهم بفعله، والحصول عليه بشكل صحيح ضروري.

فهم **النماذج** — **RBAC** (إسناد المستخدمين إلى أدوار لها صلاحيات — قابل للإدارة وشائع)، **ABAC** (قرارات قائمة على السمات للتحكم المرن والدقيق)، و ACLs (قوائم الصلاحيات لكل مورد) — يوفر الأطر لهيكلة الصلاحيات، مع كون RBAC الأكثر شيوعاً للفهم.

فهم **مبدأ الامتيازات الأقل** — منح **الوصول الأدنى المطلوب**، الذي **يحد من نطاق الضرر إذا تم التعرض للحساب أو المكون** — مبدأ أمان أساسي ينطبق على نطاق واسع (المستخدمون، الخدمات، حسابات قواعد البيانات، مفاتيح API)، وهو أحد أهم مفاهيم الأمان.

بشكل حرج، فهم كيفية **تنفيذ التحكم في الوصول بشكل آمن** يعالج الثغرة رقم 1: **فرض التصريح على الخادم لكل إجراء محمي** (عدم الثقة في العميل أو الاعتماد على واجهة المستخدم المخفية — خطأ شائع)، **التحقق من التصريح للمورد المحدد** (منع IDOR، حيث يصل المستخدمون إلى بيانات الآخرين بتغيير معرّف — عيب متكرر في التحكم في الوصول المعطل)، **الرفض بشكل افتراضي**، التحقق في كل طلب، و **اختبار التحكم في الوصول** (فجوة شائعة، لأن فحوصات التصريح المفقودة يسهل تجاهلها).

بما أن التحكم في الوصول يحدد ما يمكن للمستخدمين القيام به والتحكم في الوصول المعطل هو أفضل ثغرة (شائعة وخطيرة)، وبما أن فهم النماذج (RBAC)، ومبدأ الامتيازات الأقل، والتنفيذ الآمن (فرض من جانب الخادم، فحوصات خاصة بالمورد، الرفض بشكل افتراضي) حرج للأمان، فهم التحكم في الوصول معرفة أمنية قيمة وحرجة عملياً — معالجة المخاطر الأمنية الأولى، أساسية للتحكم في ما يمكن للمستخدمين القيام به، وضرورية لتجنب عيوب التحكم في الوصول المعطل (مثل IDOR وفحوصات التصريح المفقودة) التي تعد من بين أكثر الثغرات الأمنية شيوعاً وخطورة.