Jak działa kontrola dostępu (RBAC, zasada najmniejszych uprawnień)?

Question

Accepted Answer

**Kontrola dostępu** określa, co mogą robić uwierzytelnieni użytkownicy — za pomocą modeli takich jak **RBAC** (Role-Based Access Control) i zasad takich jak **zasada najmniejszych uprawnień**. Właściwa kontrola dostępu jest krytyczna, ponieważ złamana kontrola dostępu jest numerem #1 na liście podatności OWASP.

## Modele kontroli dostępu

```text
RBAC (Role-Based Access Control) → assign users to ROLES; roles have PERMISSIONS:
  → user → role(s) (admin, editor, viewer) → permissions → access decisions
  → manageable, common; change a role's permissions, all its users update
ABAC (Attribute-Based) → decisions based on ATTRIBUTES (user, resource, context) → flexible,
  fine-grained (e.g. "editors can edit docs in their department during business hours")
ACLs → per-resource lists of who can do what
```

## Zasada najmniejszych uprawnień

```text
LEAST PRIVILEGE → grant the MINIMUM access needed to do the job, nothing more:
  → limits the BLAST RADIUS if an account/component is compromised
  → applies to users, services, processes, database accounts, API keys, etc.
→ a foundational security principle (default to LESS access; grant more only as needed)
```

## Bezpieczne wdrażanie kontroli dostępu

```text
⚠️ BROKEN ACCESS CONTROL is OWASP #1 — common and serious:
✓ ENFORCE authorization on the SERVER for EVERY protected action/resource (never trust
  the client; don't rely on hiding UI elements)
✓ Check the user is authorized for the SPECIFIC resource (prevent IDOR — accessing
  others' data by changing an ID)
✓ DENY by default; verify on each request; centralize authorization logic
✓ Test access control (a common gap — easy to miss authorization checks)
```

## Dlaczego to ważne

Zrozumienie kontroli dostępu jest ważne, ponieważ **określa, co mogą robić użytkownicy i jest krytyczne dla bezpieczeństwa** — złamana kontrola dostępu jest numerem #1 na liście podatności OWASP — dlatego jest to cenna, praktycznie krytyczna wiedza o bezpieczeństwie.

Kontrola dostępu określa, co mogą robić uwierzytelnieni użytkownicy, a prawidłowe jej wdrożenie jest niezbędne.

Zrozumienie **modeli** — **RBAC** (przypisywanie użytkowników do ról, które mają uprawnienia — zarządzalne i powszechne), **ABAC** (decyzje oparte na atrybutach dla elastycznej, szczegółowej kontroli) oraz list ACL (listy uprawnień na poziomie zasobu) — stanowi ramy do strukturyzowania uprawnień, przy czym RBAC jest najpowszechniejszy do zrozumienia.

Zrozumienie **zasady najmniejszych uprawnień** — przyznawanie **minimum niezbędnego dostępu**, co **ogranicza zakres szkód w przypadku kompromitacji konta lub składnika** — jest fundamentalną zasadą bezpieczeństwa mającą szerokie zastosowanie (użytkownicy, usługi, konta bazodanowe, klucze API) i jedną z najważniejszych koncepcji bezpieczeństwa.

Krytyczne jest zrozumienie, jak **bezpiecznie wdrażać kontrolę dostępu**, co odpowiada podatności #1: **egzekwowanie autoryzacji na serwerze dla każdej chronionej akcji** (nigdy nie ufając klientowi ani nie polegając na ukrytym interfejsie — częsty błąd), **sprawdzanie autoryzacji dla konkretnego zasobu** (zapobieganie IDOR, gdzie użytkownicy uzyskują dostęp do danych innych osób, zmieniając ID — częsty błąd złamanej kontroli dostępu), **domyślnie odmawianie dostępu**, weryfikowanie przy każdym żądaniu i **testowanie kontroli dostępu** (częsta luka, ponieważ brakujące sprawdzenia autoryzacji są łatwe do przeoczenia).

Ponieważ kontrola dostępu określa, co mogą robić użytkownicy, a złamana kontrola dostępu jest główną podatnością (powszechna i poważna), oraz ponieważ zrozumienie modeli (RBAC), zasady najmniejszych uprawnień i bezpiecznego wdrożenia (egzekwowanie po stronie serwera, sprawdzenia specyficzne dla zasobu, domyślna odmowa) jest krytyczne dla bezpieczeństwa, zrozumienie kontroli dostępu jest cenną, praktycznie krytyczną wiedzą o bezpieczeństwie — odpowiadającą #1 zagrożeniu bezpieczeństwa, fundamentalne dla kontrolowania tego, co mogą robić użytkownicy, i niezbędne do uniknięcia błędów złamanej kontroli dostępu (takich jak IDOR i brakujące sprawdzenia autoryzacji), które należą do najczęściej występujących i najpoważniejszych podatności.