Was ist Prinzip der minimalen Rechtevergabe?
Das Prinzip der minimalen Rechtevergabe ist ein Sicherheitskonzept, das besagt, jedem Nutzer, Prozess oder System nur das minimale Zugangsniveau zu gewähren – und für die minimale Zeit –, das für die Ausübung seiner autorisierten Funktion erforderlich ist.
Die minimale Rechtevergabe ist eines der grundlegenden Prinzipien der Informationssicherheit. Sie begrenzt den Schaden, der durch Unfälle, Fehler oder böswillige Handlungen entstehen kann, indem sie sicherstellt, dass keine Entität mehr Zugang hat, als sie unbedingt benötigt. Wenn ein Konto mit minimalen Rechten kompromittiert wird, erhält der Angreifer minimalen Zugang.
Die Anwendung der minimalen Rechtevergabe auf das Teilen von Zugangsdaten bedeutet, nicht nur zu überlegen, wer Zugang haben soll, sondern wie lange und wie oft. Ein externer Dienstleister, der ein Datenbankpasswort für eine einmalige Migration benötigt, sollte keine Zugangsinformation erhalten, die dauerhaft in einem Slack-Kanal verbleibt. Ein Ingenieur, der für ein Deployment einen Produktions-API-Schlüssel benötigt, sollte ihn nicht Wochen später aus einem E-Mail-Thread abrufen können.
Die minimale Rechtevergabe gilt auch für Systeme selbst. Ein Secret-Sharing-Server, der die von ihm gespeicherten Geheimnisse nicht lesen muss, sollte nicht die Fähigkeit haben, sie zu lesen. Eine Datenbank, die verschlüsselte Daten speichert, sollte die Entschlüsselungsschlüssel nicht besitzen. Durch das Design von Systemen mit dem Prinzip der minimalen Rechtevergabe verringert man die Angriffsfläche auf jeder Ebene.
Wie Vaulted Prinzip der minimalen Rechtevergabe verwendet
Vaulted verkörpert minimale Rechtevergabe sowohl auf System- als auch auf Nutzerebene. Der Server selbst operiert nach minimaler Rechtevergabe: Er speichert und liefert verschlüsselte Daten, kann sie aber nicht entschlüsseln, weil er die Verschlüsselungsschlüssel nie besitzt. Für Nutzer stellen konfigurierbare Aufruflimits (so niedrig wie ein einziger Aufruf) und Ablaufzeitfenster sicher, dass geteilte Zugangsdaten nur so lange zugänglich sind, wie nötig. Nach dem Anzeigen zerstört sich das Geheimnis selbst und entfernt den Zugang vollständig.