Hoe werkt toegangscontrole (RBAC, least privilege)?

Question

Accepted Answer

**Toegangscontrole** bepaalt wat geverifieerde gebruikers kunnen doen — via modellen zoals **RBAC** (Role-Based Access Control) en principes zoals **least privilege**. Juiste toegangscontrole is essentieel, omdat defecte toegangscontrole OWASP's #1 kwetsbaarheid is.

## Toegangscontrolemodellen

```text
RBAC (Role-Based Access Control) → assign users to ROLES; roles have PERMISSIONS:
  → user → role(s) (admin, editor, viewer) → permissions → access decisions
  → manageable, common; change a role's permissions, all its users update
ABAC (Attribute-Based) → decisions based on ATTRIBUTES (user, resource, context) → flexible,
  fine-grained (e.g. "editors can edit docs in their department during business hours")
ACLs → per-resource lists of who can do what
```

## Het principe van least privilege

```text
LEAST PRIVILEGE → grant the MINIMUM access needed to do the job, nothing more:
  → limits the BLAST RADIUS if an account/component is compromised
  → applies to users, services, processes, database accounts, API keys, etc.
→ a foundational security principle (default to LESS access; grant more only as needed)
```

## Veilige implementatie van toegangscontrole

```text
⚠️ BROKEN ACCESS CONTROL is OWASP #1 — common and serious:
✓ ENFORCE authorization on the SERVER for EVERY protected action/resource (never trust
  the client; don't rely on hiding UI elements)
✓ Check the user is authorized for the SPECIFIC resource (prevent IDOR — accessing
  others' data by changing an ID)
✓ DENY by default; verify on each request; centralize authorization logic
✓ Test access control (a common gap — easy to miss authorization checks)
```

## Waarom het belangrijk is

Inzicht in toegangscontrole is belangrijk omdat het **bepaalt wat gebruikers kunnen doen en essentieel is voor veiligheid** — defecte toegangscontrole is OWASP's #1 kwetsbaarheid — dus het is waardevolle, praktisch-kritieke veiligheidskunde.

Toegangscontrole bepaalt waartoe geverifieerde gebruikers gerechtigd zijn, en het correct implementeren is essentieel.

Inzicht in de **modellen** — **RBAC** (gebruikers aan rollen toewijzen die machtigingen hebben — beheersbaar en gangbaar), **ABAC** (op attributen gebaseerde beslissingen voor flexibele, granulaire controle), en ACL's (per-resource permissielijsten) — biedt kaders voor het structureren van machtigingen, waarbij RBAC het meest gangbaar is om te begrijpen.

Inzicht in het **principe van least privilege** — het toekennen van de **minimale benodigde toegang**, wat **de schadebereik beperkt als een account of component is gecompromitteerd** — is een fundamenteel veiligheidsprincipe dat breed geldt (gebruikers, services, databaseaccounts, API-sleutels), en één van de belangrijkste veiligheidsconcepten.

Critisch is inzicht in hoe je **toegangscontrole veilig implementeert** en dit richt zich op de #1 kwetsbaarheid: **autorisatie afdwingen op de server voor elke beveiligde actie** (nooit de client vertrouwen of verborgen UI gebruiken — een veel voorkomende fout), **autorisatie voor de specifieke resource controleren** (IDOR voorkomen, waarbij gebruikers de gegevens van anderen openen door een ID te wijzigen — een veel voorkomende defecte-toegangscontrolefout), **standaard weigeren**, op elke aanvraag verifiëren, en **toegangscontrole testen** (een veel voorkomend gat, omdat ontbrekende autorisatiecontroles gemakkelijk over het hoofd gezien worden).

Omdat toegangscontrole bepaalt wat gebruikers kunnen doen en defecte toegangscontrole de topkwetsbaarheid is (veel voorkomend en ernstig), en omdat inzicht in de modellen (RBAC), het least-privilege-principe, en veilige implementatie (server-side enforcement, resource-specifieke controles, deny-by-default) essentieel is voor veiligheid, is inzicht in toegangscontrole waardevolle, praktisch-kritieke veiligheidskunde — het richt zich op het #1 beveiligingsrisico, fundamenteel voor het controleren wat gebruikers kunnen doen, en essentieel voor het vermijden van de defecte-toegangscontrolefoulen (zoals IDOR en ontbrekende autorisatiecontroles) die zich onder de meest voorkomende en ernstige kwetsbaarheden bevinden.