En az ayrıcalık

Açılış

Bora, arşiv ile yedeklerin aynı yönetici hesabıyla açıldığını fark ettiği akşamın ertesi günü o hesabın geçmişine baktı. Hesap, sekiz yıl önce hastanenin ilk görüntüleme sistemi kurulurken açılmıştı. O zamandan beri ona yetki eklenmiş, hiç yetki çıkarılmamıştı.

Liste uzundu. Hesap arşiv sunucusunun yöneticisiydi. Yedekleme sunucusunun yöneticisiydi. Hastane dizininde kullanıcı açıp kapatabiliyordu. Bir yıl önce bir yazıcı sorununu çözmek için baskı sunucusuna da yönetici olarak eklenmiş ve öyle kalmıştı. Üstelik bilgi işlemden iki kişi bu hesabı her gün kullanıyordu: e-postalarını okurken, internette bir sürücü ararken, bir tabloyu açarken.

Bora not defterine şunu sordu: Bu hesabın bugün yaptığı işlerden hangisi gerçekten bu yetkilerin hepsini gerektiriyor?

Cevap, hiçbiriydi. E-posta okumak hiçbir yönetici yetkisi istemiyordu. Arşivin bakımı yalnız arşiv yetkisi istiyordu. Yedek almak yalnız yedekleme yetkisi istiyordu. Bir hesap, hastanenin en hassas üç sisteminin anahtarlarını aynı anda taşıyordu ve o anahtarlar her gün bir e-posta ekinin açıldığı bir ekranda duruyordu.

Tek fikir

En az ayrıcalık, her kişinin, her hesabın ve her programın yalnız işini yapmaya yetecek kadar yetkiyle çalışmasıdır. Bir hesap ele geçirildiğinde ya da yanlış kullanıldığında zarar, o hesabın yetkisiyle sınırlı kalır; bu yüzden yetkiler hem verilirken daraltılır hem de zamanla biriktikleri için düzenli gözden geçirilir.

Nasıl çalışır

Modül 2'de yönetici hesabını ve yetki yükseltmeyi tanımladık. Bu ders, yetkinin baştan nasıl dağıtılması gerektiğine bakıyor.

İlkenin bugün de alıntılanan ifadesi, bilgisayar güvenliğinin kurucu metinlerinden birinde yer alır.

Saltzer ve Schroeder'in ifadesindeki iki ayrıntı önemlidir. Birincisi, ilke yalnız insanlar için değil, programlar için de geçerlidir: bir yedekleme yazılımının, bir web uygulamasının ya da bir otomatik görevin hesabı da yalnız işi kadar yetki taşımalıdır. İkincisi, ilkenin ilk gerekçesi saldırı değil, kazadır. Yanlış klasörü silen bir yönetici, yetkisi daraltılmış olsaydı daha az şey silebilirdi.

İlkenin sık kullanılan bir uygulaması, aynı kişinin iki ayrı hesabı olmasıdır: gündelik işler için yetkisiz bir hesap, yönetim işleri için ayrı bir yönetici hesabı. E-posta, internet ve belgeler yetkisiz hesapla açılır; yönetici hesabı yalnız yönetim işi gerektiğinde kullanılır. Bir e-posta ekinin açıldığı ekranda yönetici yetkisi yoksa, o ekin ulaşabileceği alan da daralır.

İlkenin zor tarafı, yetkinin vermekle bitmemesidir.

Bora'nın hesabındaki baskı sunucusu yetkisi böyle doğmuştu: bir yazıcı sorunu için verilmiş, sorun çözülünce geri alınmamıştı. Yetki birikmesine karşı tek çare, yetkilerin ara ara yeniden sorulmasıdır.

Bu iki kaynağın birleşimi, ilkenin iki yüzünü verir. Saltzer ve Schroeder neyin verileceğini söyler: işi kadar. NIST, verileni ne zaman geri alacağımızı söyler: gerekçesi kalmadığında, ve bunu anlamak için düzenli bakarak.

Sahada

Savunma

En az ayrıcalık, bir hesabın ele geçirilmesini imkânsız kılmaz; ele geçirildiğinde neyin gideceğini sınırlar. Derinlemesine savunmanın katmanlarından biri olarak, öteki katmanlar delindiğinde zararın genişliğini belirler.

Önce yetkiyi işe göre ver. Yeni bir hesap açarken soru "ne lazım olabilir?" değil, "bu iş tam olarak neyi gerektiriyor?" olur. Selin'in dağıtım aracı iki iş yapıyordu; yetkisi de iki işe indirildi.

Sonra gündelik işle yönetim işini ayır. Yönetici hesapları e-posta, internet ve belge için kullanılmaz. Bora'nın ayrımının zahmeti, bir e-posta ekinin ulaşabileceği alanı daraltmanın bedelidir.

Sonra yetkiyi düzenli olarak yeniden sor. NIST'in önerdiği gözden geçirme, yetki birikmesinin tek ilacıdır. Kaan'ın sorusu basitti: bu kişinin bu sisteme bugün hâlâ ihtiyacı var mı? Görev değişikliği, işten ayrılma ve geçici yetkiler, gözden geçirmenin tetikleyicileridir; geçici bir yetki verilirken bitiş tarihi de yazılır.

Son olarak programları ve otomatik hesapları unutma. Hizmet hesapları, otomatik görevler ve entegrasyonlar çoğu zaman en geniş yetkiyle açılır ve en az gözden geçirilir.

Tespit tarafında en az ayrıcalık iki kazanç sağlar. Dar yetkili bir hesabın beklenmedik bir şey yapmaya çalışması daha kolay fark edilir. Ve Saltzer ile Schroeder'in söylediği gibi, bir kötüye kullanım şüphesi doğduğunda incelenecek hesap ve program sayısı küçülür.

Uygulama

Kendi hesaplarında ve cihazlarında en az ayrıcalığı uygulayacak ve biriken yetkileri bulacaksın.

Bitirdiğinde, kaldırdığın her yetkinin ne zaman ve neden verildiğini hatırlayıp hatırlamadığına bak. Çoğunu hatırlamayacaksın; yetki birikmesi tam olarak budur.

Defter: Günlük hesabın türü ve yapılan değişiklik, üç hesaptaki üçüncü taraf uygulamalar ve kaldırılanlar, kapatılan paylaşımlar, geri alınan telefon izinleri. Bir sonraki gözden geçirme tarihi, en geç altı ay sonrası.

Hata köşesi

Etik ve sınırlar

Yetki gözden geçirmesi, kişilerin işleri ve erişimleri hakkında bilgi toplar; bu yüzden onu yalnız buna yetkili kişiler, kurumun belirlediği bir süreçle yapar, ve sonuçlar bir çalışanı suçlamak için değil, yetkileri düzeltmek için kullanılır. Kaan'ın bulduğu ödeme yetkisi bir kusur değil, bir süreç eksikliğiydi; düzeltilen de süreç oldu. En az ayrıcalık bir kişiyi işini yapamaz hâle getirmemelidir: yetkiyi daraltan kişi, işin gerçekten neyi gerektirdiğini işi yapanla birlikte belirler, ve acil durumlar için onaylı, kayıtlı ve süreli bir yetki verme yolu tanımlar. Kendi hesabının yetkilerini kullanarak başkalarının dosyalarına "nasılsa erişebiliyorum" diye bakmak da bu ilkenin ihlalidir: erişim izni, bilme ihtiyacının yerine geçmez.

Kapanış

1. En az ayrıcalık, her kişinin, hesabın ve programın yalnız işini yapacak kadar yetkiyle çalışmasıdır; ilk gerekçesi kazanın ve hatanın zararını sınırlamaktır.
2. Gündelik iş ile yönetim işi ayrı hesaplarla yapılır; bir e-posta ekinin açıldığı ekranda yönetici yetkisi bulunmaz.
3. Yetkiler zamanla birikir; düzenli gözden geçirme, görev değişikliğinde yetki kontrolü ve geçici yetkilere bitiş tarihi, birikmenin karşı önlemleridir.

Üç soru

1. Bora'nın eski yönetici hesabındaki asıl sorun neydi ve bunu nasıl çözdü?
2. Kaan'ın gözden geçirmesinde bulunan ödeme onayı yetkisi nasıl birikmişti?
3. Selin'in dağıtım aracının hesabı neden en az ayrıcalığın bir örneğiydi?

Yanıtlar

1. Hesap sekiz yıl boyunca yetki toplamış, arşiv, yedekleme, dizin ve baskı sunucusunun yöneticisi olmuştu; üstelik iki kişi onu her gün e-posta ve internet için kullanıyordu. Bora hesabı üç dar yetkili yönetici hesabına böldü, baskı sunucusu yetkisini kaldırdı ve gündelik işler için yetkisiz kişisel hesaplar açtırdı.
2. Çalışan bir yıl önce muhasebeden depo planlamaya geçmişti ve yeni yetkiler alırken eski ödeme onayı yetkisi geri alınmamıştı. Kimse bilerek bırakmamıştı; bölüm değişikliği süreci eski yetkileri sormuyordu. Bu, tek tek makul kararlardan doğan bir yetki birikmesiydi.
3. Araç yalnız iki iş yapıyordu: yeni sürümü yüklemek ve iki hizmeti yeniden başlatmak; ama tam yönetici yetkisiyle çalışıyordu. Saltzer ve Schroeder ilkeyi programlar için de yazar; yetki bu iki işle sınırlandırılınca aracın hesabı ele geçirilse bile veritabanı ya da ödeme ayarları ona açık olmayacaktı.

Sonraki derse köprü

Bora'nın eski hesabı, sekiz yıl önce kurulum sırasında verilen geniş yetkilerle doğmuştu; kimse onu daraltmayı seçmemişti, çünkü başlangıç hâli böyleydi. Varsayılan olarak güvenli dersi bu başlangıç hâline bakıyor: bir sistemin kutudan çıktığı ayarların neden güvenli olması gerektiğini.