Modelos de autorização: RBAC, MAC e DAC

Os modelos de controle de acesso definem as regras e políticas que determinam quais sujeitos (usuários, processos) podem acessar quais objetos (arquivos, sistemas, dados). O modelo escolhido determina quem pode conceder acesso, como as permissões são atribuídas e como a aplicação das regras funciona. O exame Security+ aborda quatro modelos principais: Discretionary Access Control (DAC), Mandatory Access Control (MAC), Role-Based Access Control (RBAC) e Rule-Based Access Control. Compreender os pontos fortes e os casos de uso apropriados de cada modelo é essencial para projetar sistemas de autorização eficazes.

No Discretionary Access Control (DAC), o proprietário do recurso decide quem pode acessar seus recursos e pode conceder ou revogar o acesso de outros usuários. O aspecto “discricionário” é que os proprietários decidem — o sistema aplica suas decisões, mas não as determina. Esse é o modelo usado na maioria dos ambientes de computação pessoal (permissões de arquivo do Windows NTFS e permissões de arquivo do Linux/Unix). A limitação de segurança do DAC é exigir que cada proprietário de recurso tome decisões corretas de acesso — um usuário que recebe acesso a um arquivo pode conceder esse acesso a outras pessoas sem o envolvimento de um administrador, potencialmente disseminando dados sensíveis para além do público pretendido.

O DAC apresenta dois riscos de segurança inerentes. Acesso transitivo: o usuário A concede acesso ao usuário B, e o usuário B concede acesso ao usuário C — o proprietário original pode nem saber que C tem acesso ao seu recurso. O problema do agente confuso: um programa privilegiado que atua em nome de um usuário com menos privilégios pode usar inadvertidamente seus privilégios de uma maneira que o usuário não poderia usar diretamente. Em ambientes DAC, uma única conta comprometida pode potencialmente acessar todos os recursos aos quais esse usuário recebeu acesso e pode conceder acesso a outras pessoas antes que o comprometimento seja detectado. O DAC é conveniente, mas cria desafios para a contenção rigorosa de informações.

No Mandatory Access Control (MAC), o sistema operacional aplica políticas de acesso com base em rótulos de segurança atribuídos tanto aos sujeitos (usuários) quanto aos objetos (dados). Os usuários não podem substituir nem alterar essas políticas — somente o administrador do sistema ou a política de segurança pode modificá-las. O MAC é usado em ambientes governamentais e militares com informações classificadas, nos quais os dados precisam ser rigorosamente compartimentados. Um usuário com autorização “Secreta” não pode acessar dados rotulados como “Altamente secretos”, mesmo que o proprietário dos dados queira conceder-lhe acesso. O modelo Bell-LaPadula (sem leitura acima, sem escrita abaixo) e o modelo Biba (sem escrita acima, sem leitura abaixo) são implementações formais de MAC.

Dois modelos formais de MAC codificam objetivos de segurança como regras matemáticas. Bell-LaPadula concentra-se na confidencialidade: os sujeitos não podem ler dados acima de seu nível de classificação (sem leitura acima) nem gravar dados em um nível de classificação inferior (sem escrita abaixo). Isso impede que informações sensíveis cheguem a usuários não autorizados. Biba concentra-se na integridade: os sujeitos não podem gravar em um nível de integridade superior (sem escrita acima) nem ler de um nível de integridade inferior (sem leitura abaixo). O Biba impede a contaminação de dados com alta integridade por entradas com baixa integridade. Sistemas MAC reais (como o SELinux) combinam aspectos dos dois modelos.

O Role-Based Access Control (RBAC) atribui permissões a funções, em vez de atribuí-las diretamente a usuários individuais, e depois atribui usuários às funções. Isso resolve o desafio de gerenciar a atribuição de permissões individuais em grande escala. Funções comuns em ambientes corporativos: admin, auditor, developer, HR_manager, finance_analyst. Quando um novo funcionário ingressa na organização, ele é adicionado à função apropriada e herda imediatamente todas as permissões exigidas por essa função. Quando um funcionário muda de cargo, sua função muda e as permissões são ajustadas automaticamente. O RBAC é o modelo predominante nos sistemas corporativos de IAM.

A principal vantagem do RBAC é a escalabilidade administrativa. Modificar as permissões de uma função afeta instantaneamente todos os usuários nessa função — não é necessário atualizar registros de usuários individuais em centenas de sistemas. O RBAC oferece suporte natural à separação de funções, garantindo que nenhuma função tenha permissões conflitantes (por exemplo, uma função que possa tanto criar quanto aprovar transações financeiras). O RBAC também simplifica a conformidade: os auditores podem revisar as funções e suas permissões, em vez de auditar milhares de atribuições individuais de usuários. A limitação é a proliferação de funções — às vezes as organizações criam funções granulares demais, gerando uma complexidade de gerenciamento que reduz o benefício da escalabilidade.

O Rule-Based Access Control (que não deve ser confundido com RBAC) concede ou nega acesso com base em um conjunto de regras condicionais, em vez de se basear apenas na identidade ou na função. As regras de firewall são o exemplo clássico: “Permitir TCP de 192.168.1.0/24 para qualquer destino na porta 443. Negar todo o tráfego restante.” O acesso é avaliado em relação às regras na ordem em que aparecem, até que uma correspondência seja encontrada. O controle baseado em regras costuma ser combinado com outros modelos: o MAC usa rótulos de segurança como regras, e o Attribute-Based Access Control (ABAC) amplia a lógica baseada em regras para avaliar simultaneamente vários atributos (departamento do usuário, tipo de dispositivo, hora do dia, classificação do recurso) e tomar decisões detalhadas.

O ABAC (Attribute-Based Access Control) é o modelo de controle de acesso mais flexível e detalhado. As decisões de acesso avaliam simultaneamente vários atributos: atributos do sujeito (departamento do usuário, nível de autorização, localização), atributos do objeto (classificação dos dados, departamento do proprietário, rótulo de retenção), atributos ambientais (hora do dia, tipo de dispositivo, localização da rede) e atributos da ação (ler, gravar, excluir). Uma política pode dizer: “Permitir acesso se user.department = Finance AND resource.classification = Internal AND device.type = corporate AND time.hour BETWEEN 8 AND 18.” O ABAC permite decisões de política de confiança zero e é implementado por produtos como XACML e mecanismos de políticas de IAM na nuvem.

O modelo de controle de acesso apropriado depende dos requisitos de segurança e do contexto organizacional. DAC: adequado para computação pessoal e equipes pequenas nas quais a conveniência é priorizada em relação ao controle rigoroso. MAC: necessário em ambientes governamentais e militares com informações classificadas e compartimentação rigorosa. RBAC: ideal para empresas nas quais a escalabilidade administrativa é fundamental e as funções correspondem claramente às atribuições profissionais. ABAC: apropriado para ambientes de nuvem e arquiteturas de confiança zero nas quais são necessárias políticas detalhadas e sensíveis ao contexto. Na prática, a maioria das organizações usa uma combinação: RBAC como base, com ABAC para decisões de acesso sensíveis ao contexto.

Independentemente do modelo de controle de acesso, as Access Control Lists (ACLs) são o mecanismo de implementação técnica mais comum. Uma ACL associada a um recurso especifica quais sujeitos podem realizar quais ações. As ACLs do sistema de arquivos (Windows NTFS, Linux POSIX ACLs) controlam o acesso a arquivos e diretórios. As ACLs de Network controlam o fluxo de tráfego no roteador ou no nível da rede em nuvem. As ACLs de banco de dados controlam o acesso a tabelas e a linhas. As ACLs podem implementar qualquer um dos modelos discutidos: a ACL de um arquivo implementa DAC quando o proprietário a controla; a ACL de um sistema de segurança implementa MAC quando os rótulos determinam as entradas; a ACL de uma Application implementa RBAC quando as entradas fazem referência a funções.

Teste sua compreensão dos conceitos do CompTIA Security+ (SY0-701) abordados nesta lição.

Nesta lição, você aprendeu: o DAC permite que os proprietários dos recursos controlem o acesso (é flexível, mas arriscado); o MAC usa rótulos de segurança impostos pelo sistema (é rigoroso e usado em ambientes classificados); o RBAC atribui permissões a funções para oferecer escalabilidade empresarial; e o ABAC avalia vários atributos para tomar decisões detalhadas de confiança zero. A seguir, exploraremos a identidade federada: SAML, OAuth e OpenID Connect.