nadawanie zbyt szerokich uprawnień

Nadawanie zbyt szerokich uprawnień to praktyka zwiększająca ryzyko przypadkowego lub celowego nadużycia dostępu.

Na czym polega nadawanie zbyt szerokich uprawnień

Nadawanie zbyt szerokich uprawnień oznacza przyznanie kontu, programowi albo grupie użytkowników dostępu wykraczającego poza zakres potrzebny do wykonywania określonych zadań. Przykładem jest zwykłe konto użytkownika należące do grupy administratorów systemu, aplikacja mogąca modyfikować wszystkie pliki zamiast jednego katalogu roboczego albo udział sieciowy udostępniony z prawem zapisu dla każdego użytkownika. Problem nie polega wyłącznie na samym istnieniu dostępu, lecz także na jego zakresie, czasie obowiązywania i możliwości wykonywania operacji destrukcyjnych.

W systemach Windows uprawnienia mogą wynikać między innymi z członkostwa w grupach, lokalnych praw użytkownika oraz list kontroli dostępu ACL przypisanych do plików i katalogów. Uprawnienia udziału sieciowego oraz uprawnienia systemu plików mogą działać jednocześnie, a efektywny dostęp jest ograniczany przez bardziej restrykcyjne ustawienie. W systemach Linux znaczenie mają właściciel pliku, grupa, prawa odczytu, zapisu i wykonania oraz mechanizmy takie jak sudo. Błędna konfiguracja któregoś z tych elementów może sprawić, że konto uzyska dostęp do danych lub funkcji, których nie powinno zmieniać.

Skutki przekroczenia potrzebnego zakresu dostępu

Zbyt szerokie uprawnienia zwiększają skutki pomyłki użytkownika. Jeżeli konto może zapisywać w katalogu zawierającym dokumenty wielu osób, przypadkowe usunięcie, nadpisanie albo zmiana nazwy pliku może dotknąć większej liczby danych. Podobne ryzyko występuje wtedy, gdy program uruchamiany z prawami administratora zostanie błędnie skonfigurowany. Każda operacja wykonana przez taki program może mieć większy zasięg niż w przypadku uruchomienia go na koncie o ograniczonych prawach.

Rozszerzone uprawnienia mogą również ułatwić utrzymanie niepożądanego oprogramowania po jego uruchomieniu. Program działający w kontekście administratora może próbować zmieniać ustawienia systemowe, instalować usługi, modyfikować autostart albo zapisywać pliki w chronionych lokalizacjach. Nie oznacza to, że samo nadanie uprawnień powoduje infekcję, ale zwiększa zakres działań możliwych po wykorzystaniu błędu programu lub nieuwagi użytkownika. Z tego powodu zasada najmniejszych uprawnień jest stosowana jako praktyka ograniczająca potencjalne następstwa incydentu.

Jak oceniać uprawnienia na komputerze

Ocena konfiguracji powinna rozpocząć się od ustalenia, kto potrzebuje dostępu, do jakich zasobów i w jakim celu. Warto rozdzielić prawo odczytu od prawa zapisu, a prawo uruchamiania od prawa modyfikowania plików programu. Konto przeznaczone do pracy z dokumentami zwykle nie potrzebuje możliwości instalowania sterowników ani zmieniania ustawień innych kont. Dostęp administracyjny powinien być używany do czynności administracyjnych, a nie jako stały tryb codziennej pracy.

Na komputerze z systemem Windows można sprawdzić członkostwo konta w grupach lokalnych, właściwości zabezpieczeń plików i katalogów oraz wpisy na kartach związanych z udostępnianiem i zabezpieczeniami. W środowisku Linux pomocne są między innymi polecenia id, groups, ls -l i getfacl, o ile pakiet obsługujący ACL jest dostępny. Sam odczyt listy uprawnień nie zawsze wystarcza: należy uwzględnić dziedziczenie, członkostwo w grupach, reguły ACL oraz uprawnienia procesu uruchamiającego daną aplikację. Trzeba też sprawdzić konta nieużywane, pozostałe po zmianie użytkownika lub instalacji oprogramowania.

Ograniczanie dostępu i przywracanie logicznej konfiguracji

Bezpieczniejsza konfiguracja polega na przyznaniu minimalnego zestawu praw koniecznych do wykonania zadania. Dostęp do wspólnego katalogu można ograniczyć do określonej grupy, rozdzielić katalogi według funkcji i odebrać prawo zapisu tam, gdzie potrzebny jest wyłącznie odczyt. Uprawnienia powinny być regularnie przeglądane po zmianie zakresu obowiązków, usunięciu programu lub odejściu użytkownika. W przypadku kont administracyjnych warto stosować osobne konto do administracji i osobne konto do zwykłej pracy.

Przed zmianą ACL albo praw katalogu należy ustalić, czy dany wpis jest dziedziczony i czy jego usunięcie nie odetnie dostępu potrzebnego do uruchomienia systemu lub aplikacji. Nie powinno się mechanicznie ustawiać pełnej kontroli dla grupy „Wszyscy”, ponieważ może to rozszerzyć możliwość modyfikacji danych na niepowołane konta. Po korekcie należy sprawdzić logowanie, otwieranie dokumentów, zapis plików i działanie programów korzystających z danego katalogu. Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i ich podzespołów, a w ramach diagnostyki można ustalić, czy problem z dostępem wynika z konfiguracji konta, uprawnień plików lub nieprawidłowego działania oprogramowania.