Řízení oprávnění k přístupu

AAA, tedy autentizace (ověření), autorizace (přidělení oprávnění) a accounting (účtování, lépe asi poskytovaných služeb). Kryptografie se věnuje hlavně autentizaci, ale poskytuje informace pro autorizaci. U některých autentizačních algoritmů je problém odlišit autentizační a autorizační část, protože jeden server ověřuje identitu a může dále poskytovat i informace o oprávněních.

Řízení přístupu k informacím

Kryptografie zajišťuje ochranu uložených nebo transportovaných dat, jejich integritu, autenticitu a neodmítnutelnost. Může být silným nástrojem i při autentizaci. Neřeší ale autorizaci, tedy přidělení oprávnění k přístupu. Dokáže pouze autorizaci podpořit další vrstvou ochranných mechanismů, ať se jedná o odmítnutí přístupu (negaci dostupnosti v případě neznalosti hesla), anonymizaci údajů nebo anonymizované zpracování, zpracování šifrovaných dat … bylo by možné najít i další příklady. Řízení oprávnění je ale tak trochu samostatná disciplína.
První formalizace řízení oprávnění vznikly v „počítačovém dávnověku“. Dnes používáme potomky těchto technologií, ne vždy je ale používáme správně. Proto je vhodné uvést klady a zápory těchto technologií, včetně příkladů, kde selhávají. Zároveň se jedná o jakési osvěžení základních znalostí na toto téma.

MAC (Mandatory Access Control / povinná kontrola přístupu)

Tato zkratka mi často evokuje kontrolu integrity (jedna ze zkratek je taktéž MAC), proto je nutné znát kontext užití. Vlastní řízení přístupu využívá systém návěští, tedy bezpečnostních popisků pro každý zdroj nebo jednotlivce. Takové návěští by se mělo skládat ze dvou částí, z klasifikace a příslušnosti. Klasifikace dat určuje omezení přístupu, tedy jak citlivá tato data jsou. Ekvivalentem pro uživatele je prověrka, tedy pro jak citlivé data mohou získat přístup. Příslušnost potom u uživatelů nebo dat ukazuje na způsob použití (omezení dosahu). Data mohou náležet do určitého projektu, skupiny nebo oddělení, uživatelé je možné zařadit do podobných mezí. Přístup je v tomto případě udělen jen a pouze v případě, kdy jsou splněny následující podmínky:
- Uživatel a data mají stejnou úroveň klasifikace
- Uživatel a data mají stejnou příslušnost
Na základě uvedeného restriktivního postupu je evidentní místo vzniku, tedy zpravodajská a vojenská komunita. Přesto je vhodné některá data chránit podobně restriktivním způsobem, na druhou stranu tento postup má svoje evidentní výhody a nevýhody. Mezi výhody patří vynutitelnost, tedy uvedená pravidla není možné změnit. Další výhodou je kompartmentalizace, tedy omezené vystavení každého zdroje jenom omezené skupině, toto omezení dokáže být výrazně přesnější než u hierarchické dědičnosti práv.
Takové řešení má ale i svoje nevýhody. První z nich je omezení komunikace a spolupráce, které může být kontraproduktivní, zvlášť u dynamických kolektivů. Pokud je vyžadována intenzivní spolupráce různých oddělení, může tento přístup vyžadovat úsilí navíc. Dále, vytváření a údržbu návěští zpravidla řídí specializovaná organizační struktura. Ta musí mít z principu podstatně vyšší oprávnění, protože musí tato data řídit.

DAC (Discretionary Access Control / diskreční řízení přístupu)

Řízení přístupu je založeno na ACL (Access Control List), tedy seznamech oprávnění. Ty jsou nastavovány vlastníkem zdroje, což může být správce systému (zdrojů) nebo autorem. Uvedené tabulky párují oprávnění ke zdrojům pro jednotlivé uživatele nebo uživatelské zdroje. Výhodou tohoto přístupu je extrémní jednoduchost nastavení a reakční rychlost systému (vlastník může nastavovat oprávnění pro jím poskytovaná data). Nevýhodou je nutnost procházet větší množství záznamů, kde některé z nich mohou a jiné nemusí mít přístupová práva. Následně je otázkou, jak budou uvedené kolize vyhodnocovány. Další nevýhodou je obtížné zjišťování přístupových oprávnění k jednotlivým zdrojům. Přesto se jedná o jeden z nejčastěji používaných systémů pro řízení přístupu.

RBAC (Role-based Access Control / řízení přístupu založené na roli)

Jedná se o řízení oprávnění na základě rolí, jinak řečeno, na základě vykonávané práce, pozice či role, nebo na základě příslušnosti k určité skupině uživatelů. Jedná se o oblíbený způsob, jak implementovat zásadu nejmenších potřebných oprávnění (LUA). Nasazení potřebuje odpovídající analýzu přístupů potřebných pro jednotlivé pozice a určení oprávnění pro přístupy k jednotlivým setům dat.
Výhodou je extrémní flexibilita. Uvedenou pružností se míní možnost přiřazení uživatelů k více rolím, využitím dědičnosti oprávnění v rámci hierarchie, definicím vztahů mezi rolemi, snadnou údržbou, centralizovanou politikou a omezováním možných střetů oprávnění. Nevýhodou je naproti tomu nutnost analýzy vztahů a povinností. Problémem se může stát přiřazování velkého množství překrývajících se rolí k uživateli, což může vést i k opomenutí při omezování přístupových oprávnění u daného uživatele. Na základě rozsahu pak může dojít k nutnosti vyvažování granularity řízení přístupu vůči celkové náročnosti správy.
Mimo uvedené základní metody se dále používají postupy, odvozené od těchto tří základních. Hrubé přiblížení je přibližně následující:

Context-based access control (CBAC)

Tato metoda se používá zpravidla na firewallech, kde na základě vlastností komunikace řídí schvalování nebo zamítání přístupu. V jednodušším případě se řeší, zda se jedná o schválený nebo neschválený komunikační protokol. Složitější systémy dokážou tento komunikační protokol analyzovat a schválit pouze pokud odpovídá standardní formě komunikace (pokud je správný kontext).

Graph-based access control (GBAC)

Jedná se o málo známou metodu, která je používána pouze v omezené skupině produktů. Při nastavování oprávnění se vytváří hierarchie společnosti spolu s grafem závislostí a oprávnění mezi uživateli. Na základě uvedených dat je poté možnost se systému dotazovat, zda uživatel může získat oprávnění přístupu k daným zdrojům.

Lattice-based access control (LBAC)

Uvedený přístup je založen na tvorbě matice oprávnění a jejich vzájemných interakcí, tedy vztahů mezi jednotlivými objekty. Uvedené vztahy následně dovolují definovat potřebná oprávnění. Jedná se o dobrý postup pro situaci, kdy ve standardní struktuře organizace vznikají specifické nezávislé úkolové skupiny, např. u projektů. Jedná se o systém, který má do jisté míry podobný přístup jako MAC, může mít v některých případech opodstatnění, jedná se ale o přístup extrémně složitý.

Organization-based access control (OrBAC)

Organizační schéma do jisté míry rozšiřuje původní RBAC a kombinuje ho s GBAC. Veškeré vztahy tak vycházejí z hierarchické struktury organizace.

Relationship-based access control (ReBAC)

Politika založená na vztazích mezi uživatelem a dokumentem vyžaduje definovat tento vztah, např. uživatel je autor dokumentu, pracuje na projektu popsaném v tomto projektu a podobně. Do jisté míry je možné uvedený vztah připodobnit k MAC, kde návěští je nahrazeno vztahem.

Rule-set-based access control (RSBAC)

Tento model je založen na vyhodnocování určitých pravidel a je hodně podobný např. struktuře oprávnění v rámci SeLINUX. Výhodou takového modelu je schopnost ovlivnit přidělování oprávnění v případě kolizí různých přidělení práv. Takový model je sice pružný, na druhou stranu vyžaduje značné úsilí pro implementaci.

ABAC/PBAC/CBAC (Attribute Based Access Control, Policy Based Access Control nebo Claim Based Access Control)

Jedná se o systémy řízení oprávnění, založené na definici atributů dat a politik. Politiky zajišťují přístup na základě vyhodnocování pravidel nad uvedenými atributy. Protože pravidla i atributy mohou poskytovat komplexní možnosti, je možné díky těmto technologiím navrhnout velice složité metody řízení přístupu. Při rozsáhlých nastaveních je tak nutné použít nějaké popisné schéma, které dovolí snadnější metody řízení. Asi nejznámější uvedenou metodou je popisné schéma nazývané XACML.

XACML (eXtensible Access Control Markup Language)

Jedná se o systém vyhodnocování atributů popsaný ve formátu XML. Vlastní zápis pravidel využívá vlastností jazyka Alfa (Axiomatic Language for Authorization). V současnosti je snahou výrobců používat na webových portálech a cloudových úložištích definici oprávnění právě pomocí XACML. Jeho ekvivalentem je další obdobný systém s názvem NGAC, principy jsou prakticky totožné.

Slabiny nasazení

Existují ještě další metody, které by si zasloužili popsat, ale možnost jejich nasazení je vždy určitým způsobem omezená. Obecným problémem všech těchto systémů jsou slabiny při řízení ochrany informací za okrajových podmínek, které ale mohou být pro daný systém řízení kamenem úrazu. Ty největší komplikace je možné shrnout do následujících bodů:

- Tvorba informací
Problém zde vyvstává díky tvorbě těchto informací na základě znalostní a zkušenostní báze konkrétních osob, které nemusí projít sítem pro řízení přístupu, tedy nemají odpovídající oprávnění. Buď jej jim tedy oprávnění poskytnuto, nebo zamítnuto a to i s dopadem na celý princip řízení přístupu k datům. Příkladem je seznámení se dotyčné osoby s daty na vyšší úrovní klasifikace nebo mimo rámec jejich oprávnění, to může mít vliv na ochranu konkrétního projektu.

- Přidělování oprávnění
Přidělování oprávnění může vyžadovat přístup k datům a jejich klasifikaci nezávislou skupinou osob. V tuto chvíli hrozí možnost, že se seznámí s údaji, které jsou mimo jejich prověření nebo oprávnění. Pokud se nejedná o nezávislou skupinu osob ale o vlastníka dat, závisí úroveň nastavení oprávnění hlavně na znalostech a zkušenostech této osoby.

- Řetězené přidělování oprávnění
Problém zřetězeného přidělování oprávnění hrozí nejenom v případě použití jednoho, ale i v případě použití kombinace několika způsobů řízení přístupu. Jako příklad je možné použít situaci, ke které dochází relativně často. Data mohou být uložená a zpracovávaná jedním systémem. Výstupy tohoto systému jdou do druhého, zpravidla s odlišnou klasifikací dat nebo jsou odlišně klasifikované pouze zpracovaná data. Navíc, často se v druhém systému mohou kombinovat data z prvního systému s dalšími zdroji. Výsledný problém vzniká z několika příčin. Buď v průběhu zpracování dojde ke ztrátě informací o klasifikaci dat, případně data nejsou reklasifikovaná, nebo spolu s kombinací dalších vstupů je možné získat data o stejné, případně vyšší klasifikaci než byla data původní. Díky tomu uživatel, který nemá přístup k datům v prvním systému, může získat podstatně cennější data v systému druhém.

- Kolize oprávnění
Jedná se o problematiku kolizí dvou a více přístupových oprávnění ke zdroji, kde každé z uvedených oprávnění poskytuje různé hodnoty oprávnění pro daného uživatele. Výsledný stav pak komplikuje vyhodnocování a je obtížné určit, které z těchto hodnot mají přednost. Naštěstí se zpravidla jedná o řízení přístupu metodou, kdy jsou standardně všechna práva omezena a povolují se pouze některá oprávnění, přesto je nutné si na uvedené situace dávat pozor.

- Data science / de-anonymizace dat
Uživatel může má přístup k datům s nízkou klasifikací, ale kombinací s dalšími daty může obnovit původní data s vyšší klasifikací nebo data, ke kterým nemá přístup. Jedná se o variantu problému podobného zřetězenému přidělování oprávnění. Řešením jako v předchozím případě je použití kurátorů dat a anonymizace výstupů způsobem, kdy se dotyčnému uživateli ztíží nebo znemožní jejich vytěžení (online modely, nikoliv pasivní model anonymizující data). Přesto, že se jedná o jednoduchý popis, řešení takového problému je extrémně náročné. Často znamená pochopení kontextu situace a dat, tedy i seznámení se s jejich obsahem.

- Kopie dat
Uživatel (případně aplikace pod právy uživatele) nebo správce mohou vytvořit kopie dat, tato data ale nemusí nést informace o přidělených oprávněních, nebo může vlastník dat přijít o databázi přístupových oprávnění. To vede ke dvěma situacím, kdy v první může k těmto datům přistupovat libovolná osoba, v druhém žádná. První příklad nastává v případě insider threat, exfiltrace dat ale i nevhodných metod zálohování, ke druhému může dojít například při útoku ransomware.

Závěr

V případě výběru systému je nutné znát i možnosti v oblasti volby autentizačních mechanismů, u nich je nutné dobře zvážit možnosti v oblasti řízení oprávnění uživatelů. Tyto mechanismy mají svoje omezení, proto je nutné se zamyslet, jakým způsobem oprávnění přidělovat. Alternativou je přejít na technologie, které budou oprávnění přidělovat požadovaným způsobem. Samozřejmě, nelze zapomínat na ochranu informací pomocí pravidel pro řízení přístupu po celou dobu jejich životního cyklu, klasifikace těchto informací je pak „jenom“ jejich další rozměr.

Autor článku:

Jan Dušátko

Jan Dušátko se počítačům a počítačové bezpečnosti věnuje již skoro čtvrt století. V oblasti kryptografie spolupracoval s předními odborníky např. s Vlastimilem Klímou, či Tomášem Rosou. V tuto chvíli pracuje jako bezpečnostní konzultant, jeho hlavní náplní jsou témata související s kryptografií, bezpečností, e-mailovou komunikací a linuxovými systémy.