Como funciona o controle de acesso (RBAC, privilégio mínimo)?

Question

Accepted Answer

**Controle de acesso** governa o que usuários autenticados podem fazer — através de modelos como **RBAC** (Role-Based Access Control) e princípios como **privilégio mínimo**. O controle de acesso adequado é crítico, pois controle de acesso quebrado é a vulnerabilidade #1 do OWASP.

## Modelos de controle de acesso

```text
RBAC (Role-Based Access Control) → assign users to ROLES; roles have PERMISSIONS:
  → user → role(s) (admin, editor, viewer) → permissions → access decisions
  → manageable, common; change a role's permissions, all its users update
ABAC (Attribute-Based) → decisions based on ATTRIBUTES (user, resource, context) → flexible,
  fine-grained (e.g. "editors can edit docs in their department during business hours")
ACLs → per-resource lists of who can do what
```

## O princípio do privilégio mínimo

```text
LEAST PRIVILEGE → grant the MINIMUM access needed to do the job, nothing more:
  → limits the BLAST RADIUS if an account/component is compromised
  → applies to users, services, processes, database accounts, API keys, etc.
→ a foundational security principle (default to LESS access; grant more only as needed)
```

## Implementando controle de acesso com segurança

```text
⚠️ BROKEN ACCESS CONTROL is OWASP #1 — common and serious:
✓ ENFORCE authorization on the SERVER for EVERY protected action/resource (never trust
  the client; don't rely on hiding UI elements)
✓ Check the user is authorized for the SPECIFIC resource (prevent IDOR — accessing
  others' data by changing an ID)
✓ DENY by default; verify on each request; centralize authorization logic
✓ Test access control (a common gap — easy to miss authorization checks)
```

## Por que isso importa

Compreender controle de acesso é importante porque **governa o que os usuários podem fazer e é crítico para a segurança** — controle de acesso quebrado é a vulnerabilidade #1 do OWASP — portanto, é conhecimento de segurança valioso e praticamente crítico.

O controle de acesso determina o que usuários autenticados podem fazer, e acertá-lo é essencial.

Compreender os **modelos** — **RBAC** (atribuir usuários a funções que têm permissões — gerenciável e comum), **ABAC** (decisões baseadas em atributos para controle flexível e refinado) e ACLs (listas de permissões por recurso) — fornece os frameworks para estruturar permissões, sendo RBAC o mais comum de entender.

Compreender o **princípio do privilégio mínimo** — conceder o **acesso mínimo necessário**, que **limita o raio de explosão se uma conta ou componente for comprometido** — é um princípio de segurança fundamental que se aplica amplamente (usuários, serviços, contas de banco de dados, chaves de API), e um dos conceitos de segurança mais importantes.

Criticamente, compreender como **implementar controle de acesso com segurança** aborda a vulnerabilidade #1: **enforçar autorização no servidor para cada ação protegida** (nunca confiar no cliente ou depender da UI oculta — um erro comum), **verificar autorização para o recurso específico** (prevenindo IDOR, onde usuários acessam dados de outros mudando um ID — uma falha frequente de controle de acesso quebrado), **negar por padrão**, verificar em cada requisição e **testar controle de acesso** (uma lacuna comum, pois verificações de autorização ausentes são fáceis de ignorar).

Já que controle de acesso governa o que os usuários podem fazer e controle de acesso quebrado é a vulnerabilidade principal (comum e séria), e já que compreender os modelos (RBAC), o princípio do privilégio mínimo e implementação segura (enforcement no servidor, verificações específicas de recursos, negar por padrão) é crítico para segurança, compreender controle de acesso é conhecimento de segurança valioso e praticamente crítico — abordando o risco de segurança #1, fundamental para controlar o que os usuários podem fazer e essencial para evitar as falhas de controle de acesso quebrado (como IDOR e verificações de autorização ausentes) que estão entre as vulnerabilidades mais comuns e sérias.