Hvordan fungerer adgangskontrol (RBAC, mindste privilegie)?

Question

Accepted Answer

**Adgangskontrol** styrer hvad autentificerede brugere kan gøre — gennem modeller som **RBAC** (Role-Based Access Control) og principper som **mindste privilegie**. Korrekt adgangskontrol er kritisk, da brudt adgangskontrol er OWASPs #1 sårbarhed.

## Adgangskontrolmodeller

```text
RBAC (Role-Based Access Control) → assign users to ROLES; roles have PERMISSIONS:
  → user → role(s) (admin, editor, viewer) → permissions → access decisions
  → manageable, common; change a role's permissions, all its users update
ABAC (Attribute-Based) → decisions based on ATTRIBUTES (user, resource, context) → flexible,
  fine-grained (e.g. "editors can edit docs in their department during business hours")
ACLs → per-resource lists of who can do what
```

## Princippet om mindste privilegie

```text
LEAST PRIVILEGE → grant the MINIMUM access needed to do the job, nothing more:
  → limits the BLAST RADIUS if an account/component is compromised
  → applies to users, services, processes, database accounts, API keys, etc.
→ a foundational security principle (default to LESS access; grant more only as needed)
```

## Implementering af adgangskontrol sikkert

```text
⚠️ BROKEN ACCESS CONTROL is OWASP #1 — common and serious:
✓ ENFORCE authorization on the SERVER for EVERY protected action/resource (never trust
  the client; don't rely on hiding UI elements)
✓ Check the user is authorized for the SPECIFIC resource (prevent IDOR — accessing
  others' data by changing an ID)
✓ DENY by default; verify on each request; centralize authorization logic
✓ Test access control (a common gap — easy to miss authorization checks)
```

## Hvorfor det betyder noget

At forstå adgangskontrol er vigtig, fordi det **styrer hvad brugere kan gøre og er kritisk for sikkerheden** — brudt adgangskontrol er OWASPs #1 sårbarhed — så det er værdifuldt, praktisk-kritisk sikkerhedsviden.

Adgangskontrol bestemmer hvad autentificerede brugere må gøre, og det at få det rigtigt er essentiellt.

At forstå **modellerne** — **RBAC** (at tildele brugere roller der har tilladelser — overskuelig og almindelig), **ABAC** (attributbaserede beslutninger for fleksibel, fintkornet kontrol), og ACL'er (ressource-specifikke tilladelseslister) — giver rammerne for at strukturere tilladelser, hvor RBAC er den mest almindelige at forstå.

At forstå **princippet om mindste privilegie** — at give det **minimale adgang der er nødvendig**, som **begrænser omfanget af skader hvis en konto eller komponent bliver kompromitteret** — er et grundlæggende sikkerhedsprincip der gælder bredt (brugere, tjenester, databasekonti, API-nøgler), og et af de vigtigste sikkerhedsbegreber.

Kritisk set betyder det at forstå hvordan man **implementerer adgangskontrol sikkert** at man adresserer #1 sårbarheden: **at håndhæve autorisering på serveren for hver beskyttet handling** (aldrig stole på klienten eller stole på skjult UI — en almindelig fejl), **at kontrollere autorisering for den specifikke ressource** (at forhindre IDOR, hvor brugere får adgang til andres data ved at ændre et ID — en hyppig brudt-adgangskontrol-fejl), **at nægter som standard**, at verificere ved hver forespørgsel, og **at teste adgangskontrol** (en almindelig mangel, da manglende autoriseringskontroller er nemme at overse).

Da adgangskontrol styrer hvad brugere kan gøre og brudt adgangskontrol er den vigtigste sårbarhed (almindelig og alvorlig), og da det at forstå modellerne (RBAC), princippet om mindste privilegie, og sikker implementering (server-side håndhævelse, ressource-specifikke kontroller, nægt-som-standard) er kritisk for sikkerheden, er det at forstå adgangskontrol værdifuldt, praktisk-kritisk sikkerhedsviden — der addresser #1 sikkerhedsrisikoen, fundamental for at kontrollere hvad brugere kan gøre, og essentiellt for at undgå de brudt-adgangskontrol-fejl (som IDOR og manglende autoriseringskontroller) der er blandt de mest almindelige og alvorlige sårbarheder.