Brugerkonto

I et styresystem er en konto ikke meget mere end et numerisk id med tilhørende metadata. På Unix-lignende systemer kender kernen kun UID og GID'er; /etc/passwd knytter brugernavnet til UID, primær GID, hjemmemappe og login-shell, mens hashen af adgangskoden er flyttet til /etc/shadow, som kun root kan læse. Opslag af navne går gennem NSS, så det samme UID kan komme fra lokale filer, LDAP eller SSSD, og UID 0 er root uanset navnet. Windows identificerer konti med en security identifier (SID), gemt i den lokale SAM-database eller i Active Directory; den indbyggede Administrator har altid relativt id 500. Fordi ACL'er gemmer SID'er eller UID'er og ikke navne, beholder en omdøbt konto sine rettigheder, mens en slettet og genoprettet konto med samme navn ikke får dem igen, og et genbrugt UID kan stille og roligt arve en tidligere brugers filer.

Konti falder i forskellige klasser med hver sine kontrolbehov: personlige konti, privilegerede konti eller administratorkonti, service- og maskinkonti, gæstekonti og eksterne konti (fx B2B-gæster i et clouddirectory) og nødkonti ("break-glass"). Delte eller generiske konti er problembarnet, fordi logposter ikke længere kan føres tilbage til én person, og så forsvinder ansvarligheden.

Det meste af risikoen ligger i livscyklussen. Processen for tiltrædelse, jobskifte og fratrædelse (joiner-mover-leaver) bør styres fra en autoritativ kilde, typisk HR, og oprettelsen skubbes ud til applikationerne via SCIM (RFC 7643 og RFC 7644) eller konnektorer. Jobskift er dér, hvor rettigheder hober sig op (privilege creep), fordi nye rettigheder lægges til, mens de gamle sjældent fjernes. NIST SP 800-53 Rev. 5, kontrol AC-2 (Account Management), beskriver kravene, og CIS Controls v8.1 gør dem konkrete: Safeguard 5.1 fører en oversigt over konti, 5.3 deaktiverer konti, der har været inaktive i 45 dage, og 5.4 begrænser administratorrettigheder til dedikerede administratorkonti. At deaktivere før man sletter bevarer audit-sporet og ejerskabet til data.

Angribere sætter pris på konti, fordi et gyldigt login falder i ét med normal trafik: MITRE ATT&CK har Valid Accounts (T1078) til initial adgang og persistens og Create Account (T1136) til at plante nye konti. Loginsider, der svarer forskelligt på ukendte og kendte brugernavne, gør det muligt at kortlægge konti (account enumeration), og hård spærring efter få fejl kan misbruges til denial of service; derfor foretrækker NIST SP 800-63B hastighedsbegrænsning med et loft på 100 fejlede forsøg i træk pr. autentifikator på en konto. En konto er ikke en identitet: Én identitet kan have mange konti på tværs af systemer, og en konto, hvis identitet har forladt organisationen, er en forældreløs konto.