V4.1.3 General Access Control Design

Requirement:

Verify that the principle of least privilege exists - users should only be able to access functions, data files, URLs, controllers, services, and other resources, for which they possess specific authorization. This implies protection against spoofing and elevation of privilege. (C7)

Explanation:

В области безопасности принцип наименьших привилегий побуждает разработчиков систем разрешать запуск кода только с теми разрешениями, которые необходимы для выполнения требуемых задач, и не более того. При разработке веб-приложений возможности, связанные с исполняемым кодом, должны быть ограничены таким образом. Это охватывает конфигурацию веб-серверов и серверов приложений с помощью бизнес-возможностей компонентов бизнес-логики.

Remediation:

Чтобы проверить принцип наименьших привилегий в приложении, необходимо выполнить следующие шаги:

1. Убедиться, что каждому пользователю назначен только минимальный набор привилегий, необходимый для выполнения его рабочих функций.

2. Протестировать приложение, попытавшись получить доступ к ресурсам без надлежащей авторизации, и убедиться, что доступ запрещен.

3. Протестировать приложение на наличие уязвимостей, которые позволяют повысить привилегии, такие как небезопасные прямые ссылки на объекты, подделка параметров и слабая проверка ввода.

4. Внедрить элементы управления для предотвращения спуфинга и повышения привилегий, такие как безопасные пароли, двухфакторная аутентификация и тайм-ауты сеансов.

5. Рассмотреть возможность ведения журнала и мониторинга событий управления доступом для обнаружения любых нарушений принципа наименьших привилегий в будущем.

6. Внедрить надлежащие средства проверки подлинности и авторизации, такие как средства управления доступом на основе ролей (RBAC), чтобы обеспечить назначение разрешений.

Выполняя эти шаги, можно гарантировать, что принцип наименьших привилегий правильно реализуется и применяется в приложении, а также что пользователи могут получить доступ только к тем ресурсам, для которых у них есть определенные полномочия.

Вот пример кода на Python, который реализует принцип наименьших привилегий для файловой системы:

import os

def read_file(file_path):

# Check if the user has permission to read the file

if os.access(file_path, os.R_OK):

with open(file_path, 'r') as f:

return f.read()

else:

raise PermissionError("You do not have permission to read this file.")

def write_file(file_path, data):

# Check if the user has permission to write to the file

if os.access(file_path, os.W_OK):

with open(file_path, 'w') as f:

f.write(data)

else:

raise PermissionError("You do not have permission to write to this file.")

В этом примере функция read_file использует метод os.access, чтобы проверить, есть ли у пользователя разрешение на чтение файла, прежде чем пытаться его прочитать. Точно так же функция write_file использует os.access, чтобы проверить, есть ли у пользователя разрешение на запись в файл перед попыткой записи в него. Если у пользователя нет необходимого разрешения, возникает PermissionError.

Additional:

https://owasp.org/www-community/Access_Control

https://cheatsheetseries.owasp.org/cheatsheets/Authorization_Cheat_Sheet.html