Μοντέλα Authorization: RBAC, ABAC, ReBAC και Policy Engines — DedSec Project
Μοντέλα Authorization: RBAC, ABAC, ReBAC και Policy Engines Ελληνική έκδοση — Μάθημα 093. Διατηρούνται οι διεθνείς τεχνικοί όροι όπου είναι ακριβέστεροι και ευκολότεροι στην αναζήτηση…
Ελληνική έκδοση — Μάθημα 093. Διατηρούνται οι διεθνείς τεχνικοί όροι όπου είναι ακριβέστεροι και ευκολότεροι στην αναζήτηση.
Στόχος του μαθήματος
Να κατανοήσεις σε βάθος το Μοντέλα Authorization: RBAC, ABAC, ReBAC και Policy Engines, να αναγνωρίζεις trust boundaries και failure states και να μπορείς να αποδείξεις ένα συμπέρασμα με ασφαλές, επαναλήψιμο evidence.
Βαθιές τεχνικές έννοιες
1. Reference monitor
Η authorization decision πρέπει να περνά από component που είναι always invoked, tamper-resistant και αρκετά μικρό/κατανοητό. Distributed architectures χρειάζονται consistent policy inputs και όχι ad-hoc checks.
2. RBAC
RBAC αποδίδει permissions σε roles και roles σε subjects. Απλό στη διαχείριση αλλά μπορεί να οδηγήσει σε role explosion ή broad inherited access αν δεν υπάρχει lifecycle/review.
3. ABAC
ABAC χρησιμοποιεί attributes από subject, resource, action και environment. Τα attributes είναι security inputs και χρειάζονται trustworthy source, freshness και canonical semantics.
4. ReBAC
Relationship-based authorization αποφασίζει από graph σχέσεων όπως owner/member/editor. Review graph traversal, transitive relationships, cycles και tenant boundaries.
5. Deny and default semantics
Default deny και explicit conflict/precedence rules κάνουν policy predictable. Unknown/missing attributes πρέπει να έχουν σαφές fail behavior.
6. Caching
Authorization cache βελτιώνει performance αλλά μπορεί να κρατήσει stale permission μετά revocation. Δέσε cache keys με relevant policy/version/context και όρισε invalidation.
7. Administrative authorization
Όποιος αλλάζει roles/policies έχει μεγαλύτερη authority από ordinary user. Protect policy management με separation of duties, strong auth, review και audit.
8. Testing policy
Χρησιμοποίησε policy matrix με positive/negative cases ανά subject-resource-action-context. Regression tests πρέπει να καλύπτουν deny, missing data, tenant crossover και revocation.
Καθοδηγούμενο εργαστήριο
- Model a file-sharing application using RBAC and then ReBAC; compare which rules become simpler and which new risks appear — εκτέλεσέ το μόνο στο isolated/owned lab και κατέγραψε before/after αποτέλεσμα.
- Write an authorization decision table with principal, action, resource, tenant, relationship, device posture, and time context — εκτέλεσέ το μόνο στο isolated/owned lab και κατέγραψε before/after αποτέλεσμα.
- Create regression tests for revocation and stale-cache behavior in a toy policy evaluator — εκτέλεσέ το μόνο στο isolated/owned lab και κατέγραψε before/after αποτέλεσμα.