Jogosultságok és a minimális hozzáférés elve

Modul 7: Hozzáférés, beszállítók és felhő · Olvasási idő: 10 perc

Tanulási cél: E lecke után Ön képes lesz a jogosultságokat a "legkevesebb szükséges" elve szerint kialakítani: mindenkinek saját fiókja legyen, a rendszergazdai jogok külön kezelve, a külső felek ideiglenes és korlátozott hozzáférést kapjanak, valamint legyen egy állandó eljárása arra, ha valaki belép, funkciót vált vagy távozik.
Kulcsfogalmak: least privilege (minimális jogosultság elve), személyes fiók, megosztott fiók, rendszergazdai fiók, feladatkörök szétválasztása, be-, át- és kilépés, hozzáférési áttekintés

Az elv: a lehető legkevesebb

A least privilege (magyarul: a minimális jogosultság elve) azt jelenti, hogy mindenki pontosan annyi hozzáférést kap, amennyi a munkájához szükséges, és nem többet. A NIST ezt olyan elvként írja le, amelynél a felhasználók csak a feladataikhoz minimálisan szükséges jogokkal rendelkeznek.

Miért fontos ez? Mert minden fiókot előbb-utóbb átvehetnek: adathalászattal (3. modul), egy kiszivárgott jelszóval (1.4 lecke) vagy egy fertőzött laptoppal. Hogy egy támadó mit tud ezután tenni, az teljes mértékben az adott fiók jogosultságaitól függ. Egy gyakornok fiókja, aki csak a közösségi médiával foglalkozik, keveset ér egy támadónak. Annak a fiókja viszont, aki "a kényelem kedvéért" mindenhol rendszergazda, mindent ér: a leveleket, a kifizetéseket, a weboldalt, a biztonsági mentéseket.

A minimális jogosultságok tehát nem csökkentik a betörés esélyét, de csökkentik az okozott kárt. Ugyanaz a logika, mint egy épület kulcsainál: a takarítónak van kulcsa a bejárati ajtóhoz, de nincs a széfhez.

Mindenkinek saját fiókja

A megosztott fiók olyan fiók, amelybe több ember is ugyanazzal a jelszóval jelentkezik be: "mindannyian a info@example.com fiókot használjuk a könyvelőprogramba való belépéshez". Ez praktikusnak tűnik, de négy komoly hátránya van:

1. Nem tudja, ki mit tett. A naplóban csak az "info" szerepel. Ha egy kifizetést módosítottak, nem lehet utánanézni, hogy ki tette.
2. Senkit nem tud külön kizárni. Ha valaki távozik, mindenki jelszavát meg kell változtatni, és a gyakorlatban ez gyakran elmarad.
3. A kétlépcsős azonosítás rosszul működik. A kód egyetlen telefonra érkezik, ezért vagy kikapcsolják a 2FA-t, vagy körbeküldik a kódot.
4. A jelszó terjed WhatsAppon, papírcetliken és e-mailben, így többé nem titkos.

A személyes fiók mindezt megoldja: saját bejelentkezés, saját 2FA, saját napló, önállóan kizárható. Szinte minden üzleti szolgáltatás támogatja a több felhasználót saját jogosultságokkal. Egy megosztott e-mail-cím, mint az info@, továbbra is létezhet mint cím; ha a levelezőrendszere támogatja, akkor azoknak, akik olvassák, adjon hozzáférést a saját fiókjukon keresztül.

A rendszergazdai jogok külön kezelése

Egy rendszergazdai fiók felhasználókat hozhat létre, jogosultságokat módosíthat, beállításokat változtathat meg, és gyakran adatokat is törölhet. Éppen ezért csak a lehető legritkábban használja.

• Dolgozzon napi szinten sima fiókkal, és csak akkor jelentkezzen be rendszergazdaként, ha valamit kezelnie kell. Ez a laptopjára is vonatkozik (5.2 lecke).
• Gondoskodjon arról, hogy legalább két ember rendelkezzen rendszergazdai jogokkal a legfontosabb szolgáltatásokon, vagy legyen egy jól őrzött vészhelyzeti fiók. Ha az egyetlen rendszergazda beteg vagy elérhetetlen, elakad.
• De ne is legyen több a szükségesnél. Öt rendszergazda egy nyolcfős cégben néggyel több a kelleténél.
• Minden rendszergazdai fiókon kapcsolja be a kétlépcsős azonosítást, lehetőleg adathalászatálló módszerrel (2.4 lecke).

A feladatkörök szétválasztása ennél is tovább megy: egyetlen személy sem végezhet önállóan elejétől a végéig egy érzékeny műveletet. A legismertebb példát az 1.2 leckében láthatta: aki egy beszállító új bankszámlaszámát rögzíti, nem hagyhatja jóvá saját maga is a kifizetést. Egy kisvállalkozásban ez egyszerűen megoldható: az egyik személy előkészíti a kifizetést, a másik hagyja jóvá a banki alkalmazásban.

Külső felek: ideiglenesen és korlátozottan

Weboldalkészítőknek, könyvelőknek, informatikai cégeknek és szabadúszóknak gyakran szükségük van hozzáférésre. A legjellemzőbb hiba, ha a saját jelszavát adja meg nekik. Ekkor mindent megtehetnek, amit Ön is, és utólag már nem tudja, ki fér még hozzá.

Jobb megoldás:

• Adjon saját fiókot, csak a szükséges jogosultságokkal. Egy könyvelőnek elég a számlákhoz való hozzáférés; egy weboldalkészítőnek elég egyetlen weboldal fájljaihoz.
• Adjon hozzáférést véghatáridővel, ha egy munkáról van szó. Sok rendszer képes automatikusan lejáratni egy fiókot vagy kulcsot.
• Ahol lehet, korlátozza, melyik hálózatról jelentkezhet be valaki.
• Rögzítse, ki milyen külső hozzáféréssel rendelkezik, és miért.

Be-, át- és kilépés

A jogosultságok maguktól is bővülnek. Valaki az értékesítésnél kezd, néhány hónapig besegít az adminisztrációban, majd átkerül a gyártáshoz. Ha senki nem figyel oda, két év múlva mindhárom funkció jogosultságaival rendelkezik. Ezért a jogosultságokat három pillanatban kell rendezni:

Kilépéskor a sorrend lényeges. Először adja át, azután tiltsa le, és csak később törölje. Ha egy fiókot azonnal töröl, sok szolgáltatásnál az adott személy fájljai, naptárai és levelei is eltűnnek. Egyes felhőszolgáltatásoknál ez rövid idő után véglegessé válik: a Microsoft 365 a saját dokumentációja szerint alapértelmezetten 30 napig őrzi meg egy törölt felhasználó OneDrive-tárhelyét. A letiltás megőrzi az adatokat, és lezárja a hozzáférést.

Távozáskor ne feledkezzen meg a következőkről sem: az illető által beállított továbbítási szabályok (2.5 lecke), alkalmazásjelszavak, a banki alkalmazáshoz, közösségi médiához és a domain regisztrátorhoz való hozzáférés, valamint az épület kulcsai vagy belépőkártyái.

A hozzáférési áttekintés

A hozzáférési áttekintés egy egyszerű táblázat: szolgáltatásonként ki rendelkezik hozzáféréssel, milyen jogosultságokkal, és hogy saját vagy külső fiókról van-e szó. Ezt a listát évente legalább kétszer, és minden távozás után tekintse át. Minden sornál tegyen fel egy kérdést: szüksége van erre a személynek ma is?

A gyakorlatban: így néz ki

A Fiókom példakörnyezetben felhasználóként meghívhat egy kollégát, könyvelőt vagy weboldalkészítőt. Ő saját adataival jelentkezik be, Ön pedig jogosultságonként bejelöli, mit tehet meg, például a könyvelőnek csak a Számlák funkciót engedélyezi. Csak a fiók tulajdonosa hívhat meg felhasználókat és módosíthatja a jogosultságokat, és egyetlen gombnyomással visszavonhatja a hozzáférést. A DirectAdminben egy weboldalkészítőnek adhat saját FTP-fiókot egyetlen mappához, vagy egy lejárati dátummal, korlátozott parancsokkal és csak bizonyos IP-címekről elérhető bejelentkezési kulcsot.

A Nextcloudban egy távozó kollégánál először a Letiltva beállítást válassza: ő már nem tud bejelentkezni, de a fájlok megmaradnak. A dokumentáció egyértelmű: a felhasználót csak akkor törölje, ha már mindent átadott, mert egy törölt felhasználó az összes fájljával együtt véglegesen eltűnik. Más rendszerekben ez hasonlóan működik, de az elnevezések és határidők eltérhetnek; nézzen utána, mielőtt valaki távozik.

Összefoglalás

• A minimális jogosultságok csökkentik a kárt, ha egy fiókot átvesznek.
• Mindenkinek saját fiókja legyen: így tudja, ki mit tett, és bárkit önállóan kizárhat.
• A rendszergazdai jogokat csak akkor használja, ha szükséges, kevés ember számára, erős 2FA-val.
• A külső felek saját, korlátozott, és ahol lehet, ideiglenes fiókot kapjanak, soha ne az Ön jelszavát.
• Rendezze a jogosultságokat be-, át- és kilépéskor; távozáskor: átadás, letiltás, később törlés.

Kvíz

Feladat

A7.1 feladat: Ki milyen hozzáférést kapjon? Egy sor helyzetet kap egy kisvállalkozásból (egy új könyvelő, egy weboldalkészítő egy munkára, egy távozó kollega, egy gyakornok). Válassza ki helyzetenként a legjobb módot a hozzáférés megadására vagy lezárására. A program ellenőrzi a választását, és elmagyarázza, miért.

D7.1 feladat: A hozzáférési áttekintése. Készítsen hozzáférési áttekintést az öt legfontosabb szolgáltatásáról: ki fér hozzá, milyen jogosultságokkal, saját vagy megosztott fiókkal, belsőleg vagy külsőleg. Szüntessen meg legalább egy felesleges jogosultságot vagy megosztott fiókot, és írja meg a kilépési listáját a következő alkalomra, amikor valaki távozik.

További olvasnivaló

A WebOké cikkeiben szereplő lépések a WebOké környezetére vonatkoznak; más szolgáltatóknál hasonlóan működik.

• WebOké útmutató 11.3: Felhasználók meghívása és jogosultságok megadása
• Nextcloud kézikönyv 14.2: Felhasználók létrehozása, szerkesztése, letiltása és törlése
• Nextcloud kézikönyv 14.7: Jogosultságok: ki mit kezel az Ön Nextcloudjában?
• Nextcloud kézikönyv 16.7: Kolléga távozik: fájlok, naptár és megosztott mappák biztonságos átvétele
• DirectAdmin útmutató 3.5: Bejelentkezési Kulcs: bejelentkezés szkriptek és programok számára
• DirectAdmin útmutató 11.6: FTP fiókok létrehozása és kezelése
• NIST, Glossary: least privilege (angol nyelven): https://csrc.nist.gov/glossary/term/least_privilege
• Microsoft, OneDrive retention and deletion (angol nyelven): https://learn.microsoft.com/en-us/sharepoint/retention-and-deletion