Definition
Attribute-Based Access Control (ABAC) ist ein Berechtigungsmodell zur Zugriffskontrolle, das auf der Auswertung von Attributen basiert. Im Gegensatz zu rollenbasierten Modellen (RBAC) werden Zugriffsentscheidungen nicht allein anhand von festen Rollen getroffen, sondern durch die Kombination von Attributen verschiedener Entitäten wie Nutzer, Ressourcen und Umgebungsbedingungen. Diese Attribute können beispielsweise Nutzermerkmale, Eigenschaften der angeforderten Ressource oder Kontextinformationen wie Zeit und Ort umfassen.
ABAC ermöglicht eine feingranulare und dynamische Steuerung von Zugriffsrechten. Die Zugriffsregeln werden durch Richtlinien definiert, die Bedingungen auf Attributwerte formulieren. Dadurch kann der Zugriff flexibel an wechselnde Anforderungen angepasst werden, ohne dass Rollen oder Berechtigungen manuell geändert werden müssen. ABAC wird häufig in komplexen IT-Umgebungen eingesetzt, in denen traditionelle Modelle an ihre Grenzen stoßen.
Hintergrund und Entwicklung
Das Konzept von ABAC entstand in den 1990er Jahren als Reaktion auf die zunehmende Komplexität von IT-Systemen und die damit verbundenen Herausforderungen bei der Verwaltung von Zugriffsrechten. Bereits 1993 veröffentlichte das National Institute of Standards and Technology (NIST) erste Arbeiten zu diesem Modell, das später in den NIST Special Publication 800-162 formalisiert wurde.
Die Entwicklung von ABAC wurde durch die steigenden Anforderungen an Sicherheit und Compliance in Unternehmen und Behörden vorangetrieben. Insbesondere in Umgebungen mit heterogenen Systemen und einer großen Anzahl von Nutzern und Ressourcen bietet ABAC Vorteile gegenüber traditionellen Modellen wie Discretionary Access Control (DAC) oder Role-Based Access Control (RBAC).
Funktionsweise
ABAC trifft Zugriffsentscheidungen anhand von Attributen, die in einer Zugriffsrichtlinie ausgewertet werden. Diese Attribute sind typischerweise in drei Kategorien unterteilt: Nutzerattribute (z. B. Abteilung, Sicherheitsfreigabe), Ressourcenattribute (z. B. Dateityp, Eigentümer) und Umgebungsattribute (z. B. Uhrzeit, IP-Adresse). Die Richtlinien bestehen aus Regeln, die Bedingungen auf diese Attribute definieren und so festlegen, unter welchen Umständen Zugriff gewährt oder verweigert wird.
Die Umsetzung von ABAC erfolgt meist durch eine Policy Enforcement Point (PEP) Komponente, die Zugriffsanfragen abfängt, und eine Policy Decision Point (PDP) Komponente, die anhand der Richtlinien eine Entscheidung trifft. Die Attribute werden dabei entweder direkt vom Nutzer, von Verzeichnisdiensten oder von anderen Systemen bereitgestellt. Das Modell unterstützt so eine kontextabhängige und situationsbezogene Zugriffskontrolle.
Einsatzgebiete
ABAC findet Anwendung in verschiedenen Bereichen, in denen flexible und kontextabhängige Zugriffskontrolle erforderlich ist. Dazu zählen unter anderem Cloud-Computing-Umgebungen, Behörden und Organisationen mit erhöhten Sicherheitsanforderungen sowie Unternehmen mit komplexen IT-Infrastrukturen. Die Fähigkeit, Attribute aus unterschiedlichen Quellen zu kombinieren, macht ABAC besonders geeignet für dynamische und heterogene Systeme.
Ein weiterer Einsatzbereich sind Gesundheits- und Finanzsektoren, in denen der Schutz sensibler Daten gesetzlich vorgeschrieben ist. Hier ermöglicht ABAC eine differenzierte Steuerung des Zugriffs basierend auf Nutzerrollen, Vertraulichkeitsstufen und situativen Faktoren wie dem Standort des Nutzers. Dadurch können Compliance-Anforderungen besser erfüllt werden als mit starren Rollenmodellen.
Abgrenzung zu anderen Modellen
ABAC unterscheidet sich grundlegend von Role-Based Access Control (RBAC), bei dem Zugriffsrechte an vordefinierte Rollen gebunden sind. Während RBAC eine einfache und übersichtliche Verwaltung ermöglicht, stößt es bei komplexen oder dynamischen Anforderungen an seine Grenzen. ABAC bietet hier mehr Flexibilität, da Zugriffsentscheidungen auf einer Vielzahl von Attributen basieren und nicht auf festen Rollen.
Ein weiteres verwandtes Modell ist Discretionary Access Control (DAC), bei dem der Eigentümer einer Ressource Zugriffsrechte individuell vergeben kann. Im Gegensatz dazu ist ABAC zentral gesteuert und basiert auf vordefinierten Richtlinien. Auch Mandatory Access Control (MAC), das auf festen Sicherheitsstufen beruht, unterscheidet sich von ABAC durch seine weniger flexible und statische Natur.