Zasady minimalnych uprawnień

Zasady minimalnych uprawnień nakazują przyznawanie dostępu wyłącznie w zakresie rzeczywiście potrzebnym.

Zakres dostępu dopasowany do konkretnego zadania

Zasady minimalnych uprawnień oznaczają, że konto użytkownika, aplikacja, usługa lub skrypt powinny otrzymać tylko taki zakres dostępu, jaki jest konieczny do wykonania określonej czynności. Konto służące do pracy biurowej nie powinno stale działać z prawami administratora, jeżeli użytkownik jedynie tworzy dokumenty, przegląda strony internetowe i korzysta z poczty. Ograniczenie uprawnień zmniejsza zakres możliwych skutków błędnej operacji, wadliwego programu albo uruchomienia złośliwego pliku.

W praktyce uprawnienia mogą dotyczyć między innymi odczytu, zapisu, usuwania i wykonywania plików, dostępu do katalogów, urządzeń, ustawień systemowych oraz określonych funkcji aplikacji. Dostęp powinien być przyznawany konkretnemu kontu lub grupie, a nie wszystkim użytkownikom komputera. Jeżeli program potrzebuje zapisu wyłącznie w swoim katalogu danych, nie powinien otrzymywać prawa modyfikowania całego dysku. Jeżeli użytkownik musi odczytać dokumenty z jednego folderu, nie ma technicznego uzasadnienia dla udostępniania mu wszystkich katalogów profilu innych osób.

Konta standardowe, administratorzy i kontrola podwyższeń

W systemach Windows podstawowym sposobem realizacji minimalnych uprawnień jest codzienna praca na koncie standardowym oraz używanie osobnego konta administracyjnego do instalowania programów, zmiany konfiguracji i obsługi sterowników. Mechanizm Kontroli konta użytkownika, znany jako UAC, może wymagać potwierdzenia operacji uprzywilejowanej. Samo kliknięcie przycisku potwierdzenia nie zastępuje poprawnego podziału kont, ale utrudnia niejawne wykonanie zmian wymagających praw administratora.

W systemach Linux i macOS podobną funkcję pełni rozdzielenie zwykłego konta od konta superużytkownika oraz czasowe podwyższanie uprawnień za pomocą kontrolowanego mechanizmu administracyjnego. Uprawnienie powinno być aktywne tylko przez czas niezbędny do wykonania zadania. Po zakończeniu instalacji lub naprawy nie należy pozostawiać aplikacji uruchomionej z podwyższonymi prawami, jeżeli nie wymaga ich dalsza praca. Warto także usuwać nieużywane konta, ograniczać członkostwo w grupach administracyjnych i przeglądać zapisane reguły dostępu.

Uprawnienia plików, aplikacji i urządzeń

Istotnym obszarem stosowania tej zasady są pliki i katalogi. Uprawnienia do folderu powinny odpowiadać jego przeznaczeniu: katalog z dokumentami może pozwalać na odczyt i zapis właścicielowi, a pozostałym użytkownikom tylko na odczyt albo w ogóle odmawiać dostępu. Nadawanie wszystkim pełnych praw do katalogów współdzielonych utrudnia ustalenie, kto zmienił lub usunął plik, i zwiększa ryzyko przypadkowego nadpisania danych. Reguły dostępu powinny być sprawdzane po zmianie właściciela komputera, instalacji oprogramowania oraz utworzeniu nowego profilu użytkownika.

Minimalne uprawnienia dotyczą również aplikacji korzystających z kamery, mikrofonu, lokalizacji, schowka, nośników wymiennych i połączeń sieciowych. Program do edycji tekstu może nie potrzebować dostępu do kamery, a prosta przeglądarka obrazów nie musi mieć prawa do uruchamiania poleceń systemowych. Przy instalowaniu aplikacji należy analizować żądane zgody i odrzucać te, które nie wynikają z funkcji programu. W przypadku sterowników, narzędzi diagnostycznych i programów zabezpieczających szerszy dostęp może być uzasadniony, lecz powinien wynikać z konkretnej funkcji oraz pochodzić z zaufanego źródła.

Sprawdzanie uprawnień podczas serwisowania komputera

Podczas diagnostyki laptopa lub komputera PC warto ustalić, na jakim koncie występuje problem i czy objawy zależą od uprawnień użytkownika. Jeżeli program działa poprawnie po uruchomieniu z prawami administratora, nie oznacza to automatycznie, że takie konto powinno być rozwiązaniem docelowym. Przyczyną może być błędna lokalizacja plików konfiguracyjnych, niewłaściwy właściciel katalogu, brak prawa zapisu w wymaganym folderze albo niepoprawnie skonfigurowana usługa. Trwała naprawa powinna polegać na dopasowaniu konkretnej reguły dostępu, a nie na przyznaniu aplikacji pełnej kontroli nad systemem.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach prac przy oprogramowaniu można również sprawdzić konfigurację kont użytkowników, dostęp do katalogów oraz działanie aplikacji wymagających podwyższonych praw. Takie czynności powinny być wykonywane po ustaleniu, które konto jest używane na co dzień, jakie programy muszą działać automatycznie i czy problem można usunąć bez stałego rozszerzania uprawnień.