Planlæg portalrettigheder med en matrix

»Kunden er logget ind« afgør ikke, hvilke dokumenter personen må læse, eller hvilke ordrer der må oprettes. En rettighedsplan forbinder personen, den ønskede handling og det berørte dataområde.

Følgende portal er helt hypotetisk. Virksomhederne C10 og C20, rollerne og kontrollerne beskriver et design, ikke en gennemført sikkerhedstest.

Fra arbejdsopgave til matrix

Her ser læsere virksomhedsdokumenter, bestillere må også bestille, og kundeadministratorer administrerer virksomhedens konti. Kundeadministration er ikke automatisk en overordnet rolle: bestilling er ikke tildelt her.

Fordelingen er en eksempelbeslutning. Skal kundeadministrationen også kunne bestille, skal den ekstra tildeling planlægges og testes udtrykkeligt. Det skal også fastlægges, hvilke virksomhedsroller den selv må tildele. Rettigheder til hele platformen følger ikke med.

Håndhæv grænsen ved objektet

Et skjult menupunkt stopper ikke en direkte dokumentanmodning. Serveren skal kontrollere, om personen må handle for den valgte virksomhed, og om det konkrete dokument tilhører det tilladte område. En virksomhedsidentifikator fra browseren er et valg, ikke et tilknytningsbevis.

Kontrollen gælder mere end detaljesider. Lister, eksporter og skrivehandlinger kræver samme passende afgrænsning. Designet giver ikke adgang til kombinationer uden udtrykkelig tilladelse.

Test tilladte og afviste veje

Matricen giver forventede resultater før implementeringen:

• En læser kan åbne egen virksomheds dokument; en ordre med den rolle afvises.

• En administrator fra C10 får heller ikke via den direkte adresse dokumenter fra C20.

• Tilladt brugeradministration ændrer kun egen virksomheds konti og tildeler kun de tiltænkte roller.

• Efter fjernelse af tilknytning eller rettighed er den beskyttede handling også blokeret i en allerede oprettet session.

Test tilladte tilfælde lige så vel som afviste. En applikation, der blokerer alt, opfylder ikke matricen. Noter roller, datatilknytning og forventet resultat for den testede version.

Matricen afklarer en del af reglerne. Den erstatter hverken teknisk implementering eller en fuld sikkerhedsvurdering. Ændringer i roller, dataveje eller tilknytninger skal indgå i planen og de relevante kontroller.

Kilder

• OWASP — Authorization Cheat Sheet

• OWASP — Multi-Tenant Application Security Cheat Sheet