Portaalrechten plannen met een matrix

‘De klant is aangemeld’ bepaalt nog niet welke documenten die mag lezen of welke bestellingen die mag plaatsen. Een rechtenplan verbindt de handelende persoon, de gewenste handeling en het betrokken gegevensbereik.

Het volgende portaal is volledig hypothetisch. Bedrijven C10 en C20, rollen en controles beschrijven een ontwerp, geen uitgevoerde beveiligingstest.

Van werktaak naar matrix

Hier bekijken lezers bedrijfsdocumenten, mogen bestellers ook bestellen en beheren klantbeheerders de accounts van hun bedrijf. Klantbeheer is geen automatische hogere rol: bestellen is hier niet toegewezen.

Deze toewijzing is een voorbeeldbeslissing. Als klantbeheer ook bestelrechten nodig heeft, moet die extra toewijzing expliciet worden gepland en getest. Ook moet worden bepaald welke bedrijfsrollen de beheerder mag toewijzen. Daaruit volgen geen rechten voor het hele platform.

De grens bij het object afdwingen

Een menu verbergen houdt een rechtstreeks documentverzoek niet tegen. De server moet controleren of iemand voor het gekozen bedrijf mag handelen en of het concrete document binnen dat toegestane bereik valt. Een bedrijfsidentificatie uit de browser is een keuze, geen bewijs van lidmaatschap.

De controle geldt ook buiten detailpagina’s. Lijsten, exports en schrijfhandelingen vragen om dezelfde passende afbakening. Dit ontwerp verleent geen toegang aan combinaties die niet uitdrukkelijk zijn toegestaan.

Toegestane en geweigerde routes testen

Uit de matrix volgen verwachte uitkomsten vóór de uitvoering:

• Een lezer kan een document van het eigen bedrijf openen; een bestelling met die rol wordt geweigerd.

• Een beheerder van C10 krijgt ook via het rechtstreekse adres geen document van C20.

• Toegestaan gebruikersbeheer wijzigt alleen accounts van het eigen bedrijf en kent alleen de bedoelde rollen toe.

• Na intrekking van lidmaatschap of een recht blijft de beschermde handeling ook met een eerder geopende sessie geblokkeerd.

Test toegestane gevallen evenzeer als geweigerde. Een applicatie die alles blokkeert, voldoet niet aan de matrix. Leg rollen, gegevenstoewijzing en verwachte uitkomst vast voor de geteste versie.

De matrix verduidelijkt een deel van de regels. Ze vervangt geen technische uitvoering of volledige beveiligingsbeoordeling. Wijzigingen in rollen, gegevensroutes of lidmaatschappen moeten in het plan en de passende controles worden verwerkt.

Bronnen

• OWASP — Authorization Cheat Sheet

• OWASP — Multi-Tenant Application Security Cheat Sheet