رسائی کنٹرول کیسے کام کرتا ہے (RBAC، کم سے کم صلاحیات)?

Question

Accepted Answer

**رسائی کنٹرول** اس بات کو کنٹرول کرتا ہے کہ مصدقہ صارفین کیا کر سکتے ہیں — **RBAC** (Role-Based Access Control) جیسے ماڈلز اور **کم سے کم صلاحیات** جیسے اصولوں کے ذریعے۔ صحیح رسائی کنٹرول اہم ہے، کیونکہ ٹوٹی ہوئی رسائی کنٹرول OWASP کی #1 خامی ہے۔

## رسائی کنٹرول کے ماڈلز

```text
RBAC (Role-Based Access Control) → assign users to ROLES; roles have PERMISSIONS:
  → user → role(s) (admin, editor, viewer) → permissions → access decisions
  → manageable, common; change a role's permissions, all its users update
ABAC (Attribute-Based) → decisions based on ATTRIBUTES (user, resource, context) → flexible,
  fine-grained (e.g. "editors can edit docs in their department during business hours")
ACLs → per-resource lists of who can do what
```

## کم سے کم صلاحیات کا اصول

```text
LEAST PRIVILEGE → grant the MINIMUM access needed to do the job, nothing more:
  → limits the BLAST RADIUS if an account/component is compromised
  → applies to users, services, processes, database accounts, API keys, etc.
→ a foundational security principle (default to LESS access; grant more only as needed)
```

## رسائی کنٹرول کو محفوظ طریقے سے لاگو کرنا

```text
⚠️ BROKEN ACCESS CONTROL is OWASP #1 — common and serious:
✓ ENFORCE authorization on the SERVER for EVERY protected action/resource (never trust
  the client; don't rely on hiding UI elements)
✓ Check the user is authorized for the SPECIFIC resource (prevent IDOR — accessing
  others' data by changing an ID)
✓ DENY by default; verify on each request; centralize authorization logic
✓ Test access control (a common gap — easy to miss authorization checks)
```

## یہ کیوں اہم ہے

رسائی کنٹرول کو سمجھنا اہم ہے کیونکہ یہ **اس بات کو کنٹرول کرتا ہے کہ صارفین کیا کر سکتے ہیں اور سیکیورٹی کے لیے اہم ہے** — ٹوٹی ہوئی رسائی کنٹرول OWASP کی #1 خامی ہے — لہذا یہ قیمتی، عملی طور پر اہم سیکیورٹی علم ہے۔

رسائی کنٹرول یہ طے کرتا ہے کہ مصدقہ صارفین کو کیا کرنے کی اجازت ہے، اور اسے صحیح طریقے سے کرنا ضروری ہے۔

**ماڈلز** کو سمجھنا — **RBAC** (صارفین کو ایسے کردار میں تفویض کرنا جن کے پاس اختیارات ہیں — قابل انتظام اور عام)، **ABAC** (لچکدار، باریک اختیارات کے لیے خصوصیت کی بنیاد پر فیصلے)، اور ACLs (فی وسیلہ اختیار کی فہریستیں) — اختیارات کو منظم کرنے کے لیے ڈھانچے فراہم کرتے ہیں، RBAC سب سے عام ہے۔

**کم سے کم صلاحیات کا اصول** سمجھنا — **کم سے کم ضروری رسائی** دینا، جو **ایک کھاتے یا اجزاء سے سمجھوتا ہونے کی صورت میں نقصان کے دائرے کو محدود کرتا ہے** — ایک بنیادی سیکیورٹی کا اصول ہے جو بڑے پیمانے پر لاگو ہوتا ہے (صارفین، خدمات، ڈیٹا بیس کے اعتبارات، API کلیدیں)، اور سب سے اہم سیکیورٹی تصورات میں سے ایک ہے۔

نقادی طور پر، رسائی کنٹرول کو محفوظ طریقے سے **لاگو کرنے کا طریقہ** سمجھنا #1 خامی کو حل کرتا ہے: **ہر محفوظ کارروائی کے لیے سرور پر اختیار کو نافذ کرنا** (کبھی کلائنٹ پر اعتماد نہ کرنا یا پوشیدہ UI پر انحصار نہ کرنا — ایک عام غلطی)، **مخصوص وسیلے کے لیے اختیار کی جانچ کرنا** (IDOR کو روکنا، جہاں صارفین ID کو تبدیل کر کے دوسروں کے ڈیٹا تک رسائی حاصل کرتے ہیں — ایک بار بار ٹوٹی ہوئی رسائی کنٹرول کی خامی)، **طے مجبور کرنا**، ہر درخواست پر تصدیق کرنا، اور **رسائی کنٹرول کی جانچ کرنا** (ایک عام خلا، کیونکہ اختیار کی لاپتہ جانچ غور و فکر کرنے میں آسان ہے)۔

چونکہ رسائی کنٹرول یہ طے کرتا ہے کہ صارفین کیا کر سکتے ہیں اور ٹوٹی ہوئی رسائی کنٹرول سب سے اہم خامی ہے (عام اور سنگین)، اور چونکہ ماڈلز (RBAC) کو سمجھنا، کم سے کم صلاحیات کا اصول، اور محفوظ نمائندگی (سرور طرف کی نافاذی، وسیلہ مخصوص چیکس، طے مجبور کرنا) سیکیورٹی کے لیے اہم ہے، رسائی کنٹرول کو سمجھنا قیمتی، عملی طور پر اہم سیکیورٹی علم ہے — #1 سیکیورٹی کے خطرے کو حل کرتے ہوئے، صارفین کیا کر سکتے ہیں اس پر قابو کے لیے بنیادی، اور ٹوٹی ہوئی رسائی کنٹرول کی خامیوں (جیسے IDOR اور لاپتہ اختیار کی جانچ) سے بچنے کے لیے ضروری جو سب سے عام اور سنگین خامیوں میں سے ہیں۔