Attribuutgebaseerde toegangscontrole
ABAC beoordeelt toegang aan de hand van eigenschappen en regels. De herkomst en actualiteit van die eigenschappen horen bij het ontwerp.
Attribuutgebaseerde toegangscontrole (ABAC) beoordeelt een verzoek met eigenschappen van de handelende persoon, het object, de gewenste handeling en eventueel de omgeving. Regels bepalen welke combinatie toegang toestaat.
Een documentvoorbeeld
In een hypothetisch portaal staat een regel lezen alleen toe als het benodigde leesrecht bestaat, het lidmaatschap van het bedrijf waartoe het document behoort is geverifieerd en het document is goedgekeurd. Een rolnaam alleen bevat die hele beslissing niet.
De eigenschappen moeten uit betrouwbare bronnen komen. Een vrij gekozen bedrijfsidentificatie in de browser bewijst geen lidmaatschap. Ook ontbrekende of verouderde waarden vragen om een vastgelegde behandeling. ABAC kan rollen meenemen en met RBAC samenwerken; de aanpak maakt onduidelijke regels niet automatisch correct.
Bronnen
Verwante begrippen
- Identiteits- en toegangsbeheerIAM verbindt digitale identiteiten met toegangsrechten. Accounts, rolwijzigingen en het intrekken van oude rechten horen bij elkaar.
- Rolgebaseerde toegangscontroleRBAC koppelt rechten aan rollen en wijst mensen aan die rollen toe. Naast de rolnaam moet ook het gegevensbereik duidelijk zijn.
- Principe van minimale rechtenMinimale rechten beperken toegang tot de benodigde taak en het gegevensbereik. Noodzakelijk werk blijft mogelijk, overbodige bevoegdheden vervallen.
- WebAuthnWebAuthn is de browser-API voor aanmelden met publieke sleutels. De server moet het browserantwoord controleren voordat hij de aanmelding accepteert.
- PasskeyEen passkey maakt aanmelden met een dienstgebonden sleutelpaar mogelijk. Apparaatwissel, accountherstel en rechten blijven afzonderlijke taken.
- MultifactorauthenticatieMFA gebruikt verschillende soorten authenticatiefactoren. Meerdere vragen van hetzelfde type vormen nog geen multifactorauthenticatie.
Uw project met ASES
Beschrijf ons uw project. We nemen contact met u op met een eerste inschatting.