V1.4.4 Access Control Architecture

Requirement:

Verify the application uses a single and well-vetted access control mechanism for accessing protected data and resources. All requests must pass through this single mechanism to avoid copy and paste or insecure alternative paths. (C7)

Explanation:

1 Access Control and Authorization:

• Управление доступом - это механизм безопасности, определяющий, кто может получить доступ к тем или иным ресурсам приложения.
• Авторизация, являющаяся подмножеством управления доступом, определяет, разрешено ли пользователю выполнять то или иное действие, получать доступ к определенным функциям или данным.

2 Role-Based Access Control (RBAC):

• Управление доступом часто реализуется с помощью ролевого управления доступом (RBAC).
• В RBAC пользователям назначаются роли (например, администратор, пользователь, менеджер), а права доступа сопоставляются с этими ролями.
• Пользователи наследуют права доступа в соответствии с назначенными им ролями.

3 Limitations of RBAC:

• RBAC имеет свои ограничения, особенно в сложных приложениях или ситуациях, когда требуется строгий контроль доступа. Роли часто бывают слишком детализированы, что приводит к ситуациям, когда пользователи с одинаковыми ролями имеют доступ к функциям или данным, к которым они не должны иметь доступа, или наоборот.

4 Attribute or Feature-Based Access Control:

• RBAC имеет свои ограничения, особенно в сложных приложениях или ситуациях, когда требуется строгий контроль доступа. Роли часто бывают слишком детализированы, что приводит к ситуациям, когда пользователи с одинаковыми ролями имеют доступ к функциям или данным, к которым они не должны иметь доступа, или наоборот.

•  Управление доступом на основе атрибутов или характеристик использует более детальный подход. Вместо того чтобы полагаться только на роли, он учитывает атрибуты или характеристики ресурса, к которому осуществляется доступ.

• При таком подходе код проверяет полномочия пользователя на конкретную функцию или элемент данных, а не только его роль. Это позволяет определять правила управления доступом на основе различных атрибутов, таких как атрибуты пользователя (например, отдел, местоположение), атрибуты ресурса (например, уровень конфиденциальности данных) или атрибуты контекста (например, время суток).

5 Significance:

• Управление доступом на основе атрибутов или характеристик важно по нескольким причинам:
  • Fine-Grained Control: Обеспечивает более строгий контроль доступа, позволяя определять, кто может получить доступ к определенным функциям или элементам данных на основе множества критериев.
  • Flexibility: Обеспечивает более гибкую и динамичную политику управления доступом, способную адаптироваться к изменяющимся требованиям.
  • Least Privilege Principle: Принцип наименьших привилегий - лучше согласуется, когда пользователям предоставляется минимальный доступ, необходимый для выполнения их задач.
  • Security: Позволяет снизить риск несанкционированного доступа или утечки данных за счет того, что пользователи могут получить доступ только к тому, на что у них есть соответствующие права.

Remediation:

Для выполнения данного требования необходимо убедиться в том, что в приложении эффективно реализовано управление доступом на основе ролей (RBAC):

1 Review and Document Access Control Requirements:

• Проанализировать и задокументировать требования к управлению доступом для данного приложения. Определить ресурсы (функции, данные, конечные точки), которые нуждаются в контроле доступа, и указать, кто должен иметь к ним доступ.

2 Identify Roles:

• Определить роли, которые целесообразно использовать в приложении. К общим ролям относятся администраторы, обычные пользователи и, возможно, другие специализированные роли в зависимости от функциональности приложения.

3 Assign Permissions to Roles:

• Определить полномочия, связанные с каждой ролью. Права должны представлять собой действия, которые может выполнять каждая роль. Например, администраторы могут иметь права на создание, чтение, обновление и удаление данных, в то время как обычные пользователи могут иметь права только на чтение и обновление.

4 Implement Role-Based Access Control (RBAC):

•  Реализовать RBAC в коде приложения. Убедиться, что доступ к ресурсам контролируется на основе ролей и прав доступа. Как правило, это предполагает добавление проверок авторизации в различных точках программного кода приложения.

5 Enforce the Principle of Least Privilege (PoLP):

• Соблюдать принцип наименьших привилегий, который означает предоставление пользователям и ролям только минимального уровня доступа, необходимого для выполнения их задач. Избегать чрезмерно привилегированных ролей.

6 Authentication and Authorization:

• Убедиться, что приложение должным образом аутентифицирует пользователей перед выполнением проверки авторизации. Пользователи должны быть идентифицированы и аутентифицированы до принятия решений по управлению доступом.

7 Secure Storage of Role and Permission Information:

• Хранить информацию о ролях и правах безопасно. Использовать соответствующие механизмы безопасного хранения данных и шифрование для защиты этой конфиденциальной информации от несанкционированного доступа.

8 Testing and Validation:

• Провести тестирование механизмов управления доступом в приложении, чтобы убедиться, что они работают так, как задумано. Тестировать различные сценарии, чтобы проверить, могут ли пользователи получить доступ к определенным ресурсам исключительно в соответствии с их ролями и правами.

9 Error Handling and Logging:

• Реализовать надлежащую обработку ошибок и логирование при возникновении проблем, связанных с контролем доступа. Регистрировать неудачные попытки авторизации и регулярно просматривать логи на предмет подозрительных действий.

10 Regular Review and Maintenance:

• С течением времени требования к управлению доступом могут меняться. Регулярно пересматривать и обновлять политики управления доступом и права доступа по мере необходимости, чтобы адаптировать их к изменениям в функциональности приложения и требованиям безопасности.

11 Third-Party Libraries and Tools:

• Если в приложении для управления доступом используются сторонние библиотеки или фреймворки, убедиться, что они актуальны и соответствуют лучшим практикам безопасности.

Additional:

https://cwe.mitre.org/data/definitions/284.html