Adgangskontrol

Det teoretiske udgangspunkt er Lampsons adgangsmatrix (1971): subjekter som rækker, objekter som kolonner og et sæt rettigheder i hver celle. Ingen systemer gemmer selve matricen; de skærer den enten pr. kolonne, så man får adgangskontrollister knyttet til objekterne (Unix-tilladelsesbits, POSIX-ACL'er, NTFS-DACL'er, S3-bucketpolitikker), eller pr. række, så man får capabilities, som subjekterne holder (filbeskrivere, objekt-capabilities, bearer-tokens). Anderson-rapporten fra 1972 tilføjede begrebet reference monitor: Den håndhævende komponent skal kaldes ved hver eneste adgang (complete mediation), være beskyttet mod manipulation og være lille nok til at kunne verificeres. De tre egenskaber er stadig den rette målestok for ethvert håndhævelsespunkt.

Oven på det ligger politikmodellerne. Ved skønsmæssig adgangskontrol (DAC) kan ejeren af et objekt selv tildele rettigheder, som med chmod. Ved obligatorisk adgangskontrol (MAC) håndhæver systemet klassifikationsmærker, som ejeren ikke kan tilsidesætte; Bell-LaPadula ("ingen læsning opad, ingen skrivning nedad") beskytter fortrolighed, Biba beskytter integritet, og SELinux og AppArmor bringer MAC til Linux. Rollebaseret adgangskontrol (ANSI INCITS 359-2004) sender rettighederne gennem roller, attributbaseret adgangskontrol (NIST SP 800-162) evaluerer regler over attributter for subjekt, objekt, handling og omgivelser, og relationsbaseret adgangskontrol, kendt fra Googles Zanzibar-artikel (2019), udleder rettigheder fra en graf af relationer som ejer, medlem og overordnet mappe. Systemer i drift kombinerer som regel flere modeller.

Arkitekturen beskrives typisk med XACML's begreber: Et policy enforcement point (PEP) opfanger forespørgslen, et policy decision point (PDP) træffer afgørelsen, et policy information point (PIP) leverer attributter, og et policy administration point (PAP) forvalter reglerne. NIST SP 800-207 genbruger opdelingen i PEP og PDP til Zero Trust. Eksterne regelmotorer som Open Policy Agent (Rego) eller Cedar holder politikken ude af applikationskoden. Fornuftige standardvalg er afvisning som udgangspunkt, kontrol på serveren ved hver forespørgsel og for hvert objekt, afvisning hvis PDP'en ikke kan nås (fail closed), og logning af både tilladte og afviste afgørelser.

Fejlene er udbredte: Broken Access Control er A01 i både OWASP Top 10:2021 og Top 10:2025 og dækker usikre direkte objektreferencer (IDOR), manglende kontrol på funktionsniveau, forced browsing, manipulerede tokens og fra 2025 også SSRF. Confused deputy-problemet (Hardy, 1988) viser, hvordan et privilegeret program kan narres til at bruge sin egen myndighed på en kalders vegne; huller mellem kontrol og brug (TOCTOU) og cachede afgørelser, der overlever en tilbagekaldelse, er andre klassiske fejl. Adgangskontrol er mekanismen ved hver forespørgsel; adgangsstyring er livscyklussen med at tildele, recertificere og fjerne rettigheder. ISO/IEC 27001:2022 dækker begge i bilag A 5.15-5.18, med 7.2 for fysisk adgang og 8.3 for begrænsning af adgang til information.