Rechte im Kundenportal mit einer Matrix planen

„Der Kunde ist angemeldet“ beantwortet noch nicht, welche Dokumente er lesen oder welche Aufträge er anlegen darf. Ein Berechtigungsplan verbindet die handelnde Person, die gewünschte Aktion und den betroffenen Datenbereich.

Das folgende Portal ist vollständig hypothetisch. Seine Firmen C10 und C20, Rollen und Prüfungen beschreiben einen Entwurf, keinen durchgeführten Sicherheitstest.

Vom Arbeitsauftrag zur Matrix

Im Beispiel sollen Leser Firmendokumente ansehen, Besteller zusätzlich Bestellungen aufgeben und Kundenadministratoren die Konten ihrer Firma verwalten. Die Kundenadministration ist keine automatische Oberrolle: Bestellen ist ihr hier nicht zugewiesen.

Diese Zuordnung ist eine Beispielentscheidung. Braucht die Kundenadministration auch Bestellrechte, muss die zusätzliche Zuweisung ausdrücklich geplant und geprüft werden. Ebenso ist festzulegen, welche Firmenrollen sie selbst vergeben darf. Plattformweite Rechte folgen daraus nicht.

Die Grenze am Objekt durchsetzen

Ein ausgeblendeter Menüpunkt hält einen direkten Dokumentaufruf nicht auf. Der Server muss prüfen, ob die Person für die ausgewählte Firma handeln darf und ob das konkrete Dokument zu diesem erlaubten Bereich gehört. Eine vom Browser übermittelte Firmenkennung ist eine Auswahl, kein Mitgliedschaftsnachweis.

Die Prüfung betrifft nicht nur Detailseiten. Listen, Exporte und schreibende Aktionen brauchen dieselbe passende Begrenzung. Für nicht ausdrücklich erlaubte Kombinationen wird in diesem Entwurf kein Zugriff gewährt.

Erlaubte und gesperrte Wege prüfen

Aus der Matrix lassen sich vor der Umsetzung erwartete Ergebnisse formulieren:

• Ein Leser kann ein Dokument seiner Firma öffnen; eine Bestellung wird mit dieser Rolle abgewiesen.

• Ein Administrator aus C10 erhält auch über die direkte Adresse kein Dokument aus C20.

• Die erlaubte Benutzerverwaltung verändert nur Konten der eigenen Firma und vergibt nur dafür vorgesehene Rollen.

• Nach Entzug einer Mitgliedschaft oder Berechtigung bleibt die geschützte Aktion auch mit einer zuvor bestehenden Sitzung gesperrt.

Prüfen Sie die erlaubten Fälle ebenso wie die abgewiesenen. Eine Anwendung, die alles blockiert, erfüllt die Matrix nicht. Halten Sie Rollen, Datenzuordnung und erwartetes Ergebnis für den jeweils getesteten Stand fest.

Die Matrix klärt einen Ausschnitt der Zugriffsregeln. Sie ersetzt weder deren technische Umsetzung noch eine vollständige Sicherheitsbewertung. Änderungen an Rollen, Datenwegen oder Mitgliedschaften müssen in den Plan und die passenden Prüfungen einfließen.

Quellen

• OWASP — Authorization Cheat Sheet

• OWASP — Multi-Tenant Application Security Cheat Sheet