Auktoriseringsmodeller: RBAC, MAC och DAC

Åtkomstkontrollmodeller definierar reglerna och policyerna som styr vilka subjekt (användare, processer) som får åtkomst till vilka objekt (filer, system, data). Den valda modellen avgör vem som kan bevilja åtkomst, hur behörigheter tilldelas och hur verkställigheten fungerar. Security+-provet omfattar fyra primära modeller: Discretionary Access Control (DAC), Mandatory Access Control (MAC), Role-Based Access Control (RBAC) och Rule-Based Access Control. Det är viktigt att förstå varje modells styrkor och lämpliga användningsområden för att kunna utforma effektiva auktoriseringssystem.

I Discretionary Access Control (DAC) bestämmer resursägaren själv vem som får åtkomst till resurserna och kan bevilja eller återkalla åtkomst för andra användare. Den ”discretionary” aspekten innebär att ägarna fattar besluten — systemet verkställer deras beslut men föreskriver dem inte. Detta är modellen som används i de flesta personliga datormiljöer (Windows NTFS-filbehörigheter, Linux/Unix-filbehörigheter). DAC:s säkerhetsbegränsning är att varje resursägare måste fatta korrekta åtkomstbeslut — en användare som får åtkomst till en fil kan bevilja andra samma åtkomst utan administratörens medverkan, vilket potentiellt kan sprida känsliga data utanför den avsedda målgruppen.

DAC har två inneboende säkerhetsrisker. Transitiv åtkomst: användare A beviljar användare B åtkomst, och användare B beviljar användare C åtkomst — den ursprungliga ägaren kanske inte ens vet att C har åtkomst till resursen. Problemet med den förvirrade ställföreträdaren: ett privilegierat program som agerar på uppdrag av en användare med lägre behörighet kan oavsiktligt använda sina privilegier på ett sätt som användaren inte själv hade kunnat göra. I DAC-miljöer kan ett enda komprometterat konto potentiellt komma åt alla resurser som användaren har beviljats åtkomst till och även bevilja andra åtkomst innan intrånget upptäcks. DAC är bekvämt men skapar utmaningar när information måste hållas strikt avgränsad.

I Mandatory Access Control (MAC) verkställer operativsystemet åtkomstpolicyer baserat på säkerhetsetiketter som tilldelats både subjekt (användare) och objekt (data). Användare kan inte åsidosätta eller ändra dessa policyer — endast systemadministratören eller säkerhetspolicyn kan ändra dem. MAC används i klassificerade myndighets- och militärmiljöer där data måste hållas strikt avgränsade. En användare med behörighetsnivån ”Secret” kan inte komma åt data märkta ”Top Secret”, även om dataägaren skulle vilja bevilja åtkomst. Bell-LaPadula-modellen (ingen läsning uppåt, ingen skrivning nedåt) och Biba-modellen (ingen skrivning uppåt, ingen läsning nedåt) är formella MAC-implementationer.

Två formella MAC-modeller uttrycker säkerhetsmål som matematiska regler. Bell-LaPadula fokuserar på konfidentialitet: subjekt får inte läsa data över sin klassificeringsnivå (ingen läsning uppåt) och får inte skriva data till en lägre klassificeringsnivå (ingen skrivning nedåt). Detta hindrar känslig information från att flöda till obehöriga användare. Biba fokuserar på integritet: subjekt får inte skriva till en högre integritetsnivå (ingen skrivning uppåt) och får inte läsa från en lägre integritetsnivå (ingen läsning nedåt). Biba hindrar data med låg integritet från att kontaminera data med hög integritet. Verkliga MAC-system (som SELinux) kombinerar aspekter av båda modellerna.

Role-Based Access Control (RBAC) tilldelar roller behörigheter i stället för att tilldela dem direkt till enskilda användare, och tilldelar sedan användare till roller. Detta löser hanteringsutmaningen med att tilldela individuella behörigheter i stor skala. Vanliga roller i företagsmiljöer är: admin, auditor, developer, HR_manager och finance_analyst. När en ny medarbetare börjar läggs personen till i lämplig roll och ärver omedelbart alla behörigheter som rollen kräver. När en medarbetare byter befattning ändras rollen och behörigheterna justeras automatiskt. RBAC är den dominerande modellen i företags IAM-system.

RBAC:s främsta fördel är administrativ skalbarhet. Om en rolls behörigheter ändras påverkas alla användare i den rollen omedelbart — det behövs ingen uppdatering av enskilda användarposter i hundratals system. RBAC stöder naturligt separering av arbetsuppgifter genom att säkerställa att ingen enskild roll har motstridiga behörigheter (till exempel en roll som både kan skapa och godkänna ekonomiska transaktioner). RBAC förenklar även efterlevnaden: revisorer kan granska roller och deras behörigheter i stället för att granska tusentals individuella användartilldelningar. Begränsningen är rollförökning — organisationer skapar ibland alltför många detaljerade roller, vilket leder till en hanteringskomplexitet som undergräver skalbarhetsfördelen.

Rule-Based Access Control (ska inte förväxlas med RBAC) beviljar eller nekar åtkomst baserat på en uppsättning villkorsregler snarare än enbart identitet eller roll. Brandväggsregler är det klassiska exemplet: ”Tillåt TCP från 192.168.1.0/24 till valfri destination på port 443. Neka all annan trafik.” Åtkomsten utvärderas mot reglerna i ordning tills en matchning hittas. Regelbaserad åtkomstkontroll kombineras ofta med andra modeller: MAC använder säkerhetsetiketter som regler, och Attribute-Based Access Control (ABAC) utökar den regelbaserade logiken genom att samtidigt utvärdera flera attribut (användarens avdelning, enhetstyp, tid på dygnet och resursens klassificering) för finkorniga beslut.

ABAC (Attribute-Based Access Control) är den mest flexibla och finkorniga modellen för åtkomstkontroll. Åtkomstbeslut utvärderar flera attribut samtidigt: subjektsattribut (användarens avdelning, behörighetsnivå, plats), objektattribut (dataklassificering, ägarens avdelning, lagringsetikett), miljöattribut (tid på dygnet, enhetstyp, nätverksplats) och åtgärdsattribut (läsa, skriva, ta bort). En policy kan exempelvis ange: ”Tillåt åtkomst om user.department = Finance OCH resource.classification = Internal OCH device.type = corporate OCH time.hour BETWEEN 8 AND 18.” ABAC möjliggör policybeslut enligt zero trust och implementeras av produkter som XACML och molnbaserade IAM-policyverktyg.

Vilken åtkomstkontrollmodell som är lämplig beror på säkerhetskraven och den organisatoriska kontexten. DAC: lämplig för personliga datormiljöer och små team där bekvämlighet prioriteras framför strikt kontroll. MAC: krävs i klassificerade myndighets- och militärmiljöer med strikt informationsavgränsning. RBAC: idealisk för företag där administrativ skalbarhet är avgörande och rollerna tydligt motsvarar arbetsfunktioner. ABAC: lämplig för molnmiljöer och zero trust-arkitekturer där kontextmedvetna, finkorniga policyer behövs. I praktiken använder de flesta organisationer en kombination: RBAC som grund med ABAC för kontextkänsliga åtkomstbeslut.

Oavsett åtkomstkontrollmodell är åtkomstkontrollistor (ACL:er) den vanligaste tekniska implementeringsmekanismen. En ACL som är kopplad till en resurs anger vilka subjekt som får utföra vilka åtgärder. Filsystemets ACL:er (Windows NTFS, Linux POSIX-ACL:er) styr åtkomsten till filer och kataloger. Nätverks-ACL:er styr trafikflödet på router- eller molnnätverksnivå. Databas-ACL:er styr åtkomst på tabell- och radnivå. ACL:er kan implementera alla de modeller som har diskuterats: en fils ACL implementerar DAC när ägaren styr den; ett säkerhetssystems ACL implementerar MAC när etiketter avgör posterna; en applikations ACL implementerar RBAC när posterna hänvisar till roller.

I den här lektionen har ni lärt er att DAC låter resursägare styra åtkomsten (flexibelt men riskfyllt); MAC använder säkerhetsetiketter som tillämpas av systemet (strikt och används i säkerhetsklassificerade miljöer); RBAC tilldelar behörigheter till roller för skalbarhet i företagsmiljöer; och ABAC utvärderar flera attribut för finmaskiga beslut enligt zero trust. Härnäst utforskar vi federerad identitet: SAML, OAuth och OpenID Connect.