Least Privilege
Least Privilege begrenzt Rechte auf die benötigte Aufgabe und ihren Bereich. Erforderliche Arbeit soll möglich bleiben, unnötige Macht entfällt.
Least Privilege bedeutet, einer Person oder einem technischen Dienst nur die Rechte und Ressourcen zu geben, die für die zugewiesene Aufgabe nötig sind. Die Begrenzung betrifft sowohl die erlaubte Handlung als auch ihren Datenbereich.
Beispiel eines Exportdiensts
Ein hypothetischer Dienst erstellt Bestellexporte für eine bestimmte Kundenfirma. Er muss die betreffenden Bestellungen lesen und die Exportdatei erzeugen können. Verträge zu löschen oder Bestellungen anderer Firmen zu ändern gehört nicht zu dieser Aufgabe.
Das Prinzip verlangt nicht, jedes Konto pauschal auf Lesen zu beschränken: Benötigte Bearbeitung muss gezielt erlaubt werden. Rechte sind bei Aufgabenwechseln zu überprüfen. Eine passende Berechtigungsliste allein belegt noch nicht, dass alle Zugriffswege sie korrekt durchsetzen.
Quellen
Verwandte Begriffe
- Identity and Access ManagementIAM verbindet die Verwaltung digitaler Identitäten mit ihren Zugriffsrechten. Konten, Rollenwechsel und der Entzug alter Rechte gehören zusammen.
- Rollenbasierte ZugriffskontrolleRBAC verbindet Berechtigungen mit Rollen und ordnet Personen diesen Rollen zu. Der Datenbereich muss neben dem Rollennamen klar sein.
- Attributbasierte ZugriffskontrolleABAC bewertet Zugriffe anhand definierter Eigenschaften und Regeln. Die Herkunft und Aktualität dieser Eigenschaften sind Teil des Entwurfs.
- WebAuthnWebAuthn ist die Browser-API für Anmeldung mit öffentlichen Schlüsseln. Eine Antwort des Browsers muss der Server prüfen, bevor er die Anmeldung akzeptiert.
- PasskeyEin Passkey ermöglicht die Anmeldung mit einem dienstgebundenen Schlüsselpaar. Gerätewechsel, Wiederherstellung und Kontorechte bleiben eigene Aufgaben.
- Multi-Faktor-AuthentifizierungMFA verwendet unterschiedliche Arten von Authentifizierungsfaktoren. Mehrere Abfragen desselben Faktortyps ergeben noch keine Mehrfaktorprüfung.
Ihr Vorhaben mit ASES
Beschreiben Sie uns Ihr Vorhaben. Wir melden uns mit einer ersten Einschätzung.