Planlegg portalrettigheter med en matrise

«Kunden er logget inn» avgjør ikke hvilke dokumenter personen kan lese, eller hvilke bestillinger som kan opprettes. En rettighetsplan knytter personen, den ønskede handlingen og det berørte dataområdet sammen.

Følgende portal er helt hypotetisk. Virksomhetene C10 og C20, rollene og kontrollene beskriver en utforming, ikke en gjennomført sikkerhetstest.

Fra arbeidsoppgave til matrise

Her ser lesere virksomhetsdokumenter, bestillere kan også bestille, og kundeadministratorer administrerer virksomhetens kontoer. Kundeadministrasjon er ikke automatisk en overordnet rolle: bestilling er ikke tildelt her.

Fordelingen er et eksempelvalg. Trenger kundeadministrasjonen også å bestille, må den ekstra tildelingen planlegges og testes eksplisitt. Det må også defineres hvilke virksomhetsroller den selv kan tildele. Rettigheter for hele plattformen følger ikke med.

Håndhev grensen ved objektet

Et skjult menypunkt stopper ikke en direkte dokumentforespørsel. Serveren må kontrollere om personen kan handle for den valgte virksomheten, og om det konkrete dokumentet tilhører det tillatte området. En virksomhetsidentifikator fra nettleseren er et valg, ikke bevis på tilknytning.

Kontrollen gjelder mer enn detaljsider. Lister, eksporter og skrivehandlinger trenger samme passende avgrensning. Utformingen gir ikke tilgang til kombinasjoner uten eksplisitt tillatelse.

Test tillatte og avviste veier

Matrisen gir forventede resultater før implementering:

• En leser kan åpne egen virksomhets dokument; en bestilling med den rollen avvises.

• En administrator fra C10 får heller ikke via direkteadressen dokumenter fra C20.

• Tillatt brukeradministrasjon endrer bare egen virksomhets kontoer og tildeler bare de tiltenkte rollene.

• Etter fjerning av tilknytning eller rettighet er den beskyttede handlingen blokkert også med en tidligere opprettet økt.

Test tillatte tilfeller like godt som avviste. En applikasjon som blokkerer alt, oppfyller ikke matrisen. Noter roller, datatilknytning og forventet resultat for den testede versjonen.

Matrisen avklarer en del av reglene. Den erstatter verken teknisk implementering eller en fullstendig sikkerhetsvurdering. Endringer i roller, dataveier eller tilknytninger må inn i planen og de relevante kontrollene.

Kilder

• OWASP — Authorization Cheat Sheet

• OWASP — Multi-Tenant Application Security Cheat Sheet