Qu’est-ce que le contrôle d’accès basé sur les attributs (ABAC) ?

Le contrôle d’accès basé sur les attributs (ABAC) est un modèle d’autorisation qui évalue les attributs (ou caractéristiques), plutôt que les rôles, pour déterminer l’accès. Le contrôle ABAC a pour but de protéger les objets tels que les données, équipements réseau et ressources IT contre les utilisateurs et actions non autorisés, c’est-à-dire ceux qui ne présentent pas les caractéristiques « approuvées » définies par les politiques de sécurité d’une entreprise.

Cette forme de contrôle d’accès logique a gagné de l’importance au cours de la dernière décennie, car elle représente une évolution par rapport aux simples listes de contrôle d’accès (ACL) et au contrôle d’accès basé sur les rôles (RBAC). Ainsi, le Federal Chief Information Officers Council a approuvé le contrôle ABAC en 2011, dans le cadre d’une initiative visant à aider les organismes fédéraux à améliorer leurs architectures de contrôle d’accès. Il a recommandé l’adoption du modèle ABAC pour le partage sécurisé des informations.

Dans cet article, nous expliquons plus en détail le fonctionnement du contrôle d’accès basé sur les attributs et examinons les avantages potentiels de l’adoption du contrôle ABAC pour votre entreprise.

Quels sont les principaux composants du contrôle d’accès basé sur les attributs ?

Avec le contrôle ABAC, les politiques d’accès d’une entreprise appliquent des décisions d’accès basées sur les attributs du sujet, de la ressource, de l’action et de l’environnement impliqués dans un événement d’accès. 

Subject

Le sujet est l’utilisateur qui demande l’accès à une ressource pour effectuer une action. Les attributs du sujet pour un profil utilisateur incluent l’ID, le rôle professionnel, l’appartenance aux groupes, aux départements ou aux entités, le niveau hiérarchique, l’habilitation de sécurité et d’autres critères d’identification. Les systèmes ABAC obtiennent souvent ces données à partir d’un système ou annuaire RH, ou collectent ces informations auprès des jetons d’authentification utilisés lors de la connexion.

Ressource

La ressource est l’objet ou l’actif (fichier, application, serveur ou même API) auquel le sujet veut accéder. Les attributs d’une ressource sont toutes les caractéristiques permettant de l’identifier, comme la date de création d’un fichier, son propriétaire, le nom et le type de fichier ou le degré de sensibilité des données. Par exemple, lorsque vous essayez d’accéder à votre compte bancaire en ligne, la ressource impliquée serait « compte bancaire = <numéro de compte correct> ».

Mesure

L’action correspond à ce que l’utilisateur tente de faire avec la ressource. Les attributs d’action courants sont « lire », « écrire », « modifier », « copier » et « supprimer ». Dans certains cas, plusieurs attributs peuvent décrire une action. Pour reprendre l’exemple de la banque en ligne, une demande de virement peut présenter les caractéristiques suivantes : « type d’action = virement » et « montant = 200 € ».

Environnement

L’environnement représente le contexte étendu de chaque demande d’accès. Tous les attributs environnementaux sont liés à des facteurs contextuels tels que l’heure et le lieu d’une tentative d’accès, le terminal du sujet, le protocole de communication et la robustesse du chiffrement. Les informations contextuelles peuvent également inclure des signaux de risque définis par l’entreprise, tels que la robustesse de l’authentification et les comportements normaux du sujet.

Comment le contrôle ABAC utilise-t-il les attributs pour exprimer les politiques de contrôle des accès ?

Les attributs sont les caractéristiques ou les valeurs d’un composant impliqué dans un événement d’accès. Le contrôle d’accès basé sur les attributs analyse les attributs de ces composants en fonction de règles. Ces règles définissent les combinaisons d’attributs autorisées qui permettent au sujet d’effectuer une action sur l’objet.

En analysant la façon dont les attributs interagissent dans un environnement, les solutions ABAC peuvent les évaluer au sein de l’environnement et appliquer des règles et des relations. Les politiques prennent les attributs en compte pour définir les conditions d’accès autorisées ou non.

Par exemple, supposons que la politique suivante soit en place :

« Si le sujet occupe un rôle professionnel dans le domaine de la communication, il doit disposer d’un accès en lecture et en modification sur les stratégies médiatiques des entités qu’il représente. »

Chaque fois qu’une demande d’accès est envoyée, le système ABAC analyse les valeurs des attributs pour vérifier si elles correspondent aux politiques définies. Tant que la politique ci-dessus est en place, une demande d’accès présentant les attributs suivants devrait permettre d’obtenir l’accès :

• « Rôle professionnel » du sujet = « Communication »
• « Entité » du sujet = « Marketing »
• Action = « Modifier »
• « Type » de la ressource = « Document de stratégie média »
• « Entité » de la ressource = « Marketing »

Concrètement, le contrôle ABAC permet aux administrateurs d’implémenter un contrôle d’accès granulaire basé sur les politiques, en utilisant différentes combinaisons d’attributs pour créer des conditions d’accès aussi spécifiques ou génériques que la situation l’exige.

Quels sont les avantages du contrôle ABAC ?

Maintenant que vous savez ce qu’est le contrôle ABAC et comment il fonctionne, examinons comment renforcer l’agilité et la sécurité des entreprises. Le contrôle d’accès basé sur les attributs offre trois avantages principaux :

Définition de politiques à la fois granulaires et flexibles

Le principal avantage du protocole ABAC réside dans sa flexibilité. En substance, la limite de la définition des politiques repose dans les attributs à prendre en compte et les conditions que le langage informatique peut exprimer. Le contrôle ABAC permet au plus grand nombre de sujets d’accéder au plus grand nombre de ressources sans que les administrateurs aient à spécifier les relations entre chaque sujet et chaque objet. Prenons l’exemple des étapes suivantes :

1. Lorsqu’un sujet rejoint une organisation, il se voit attribuer un ensemble d’attributs (p. ex. Jean Dupont est praticien hospitalier au service de radiologie).
2. Lors de sa création, un objet se voit attribuer ses attributs (p. ex. un dossier contenant les fichiers d’imagerie cardiaque des patients de cardiologie).
3. L’administrateur ou le propriétaire de l’objet crée ensuite une règle de contrôle d’accès (p. ex. « Tous les praticiens du service de radiologie peuvent consulter et partager les fichiers d’imagerie cardiaque des patients de cardiologie »).

Les administrateurs peuvent modifier ces attributs et règles de contrôle d’accès pour les adapter aux besoins de l’organisation. Par exemple, lorsqu’ils définissent de nouvelles politiques d’accès pour des sujets externes tels que les prestataires et les fournisseurs, ils peuvent le faire sans modifier manuellement chaque relation sujet-objet. Le protocole ABAC prend en charge un large éventail de situations d’accès en exigeant peu de suivi administratif.

Compatibilité avec les nouveaux utilisateurs

Le protocole ABAC permet aux administrateurs et propriétaires d’objets de créer des politiques permettant aux nouveaux sujets d’accéder aux ressources. Tant que les nouveaux sujets se voient attribuer les attributs nécessaires pour accéder aux objets (c.-à-d. que tous les praticiens du service de radiologie se voient attribuer ces attributs), il n’est pas nécessaire de modifier les règles ou attributs des objets existants.

Les modèles ABAC favorisent l’agilité des organisations lors de l’onboarding des nouveaux collaborateurs et l’habilitation des partenaires externes.

Sécurité et confidentialité renforcées

Grâce à l’utilisation d’attributs, le protocole ABAC permet aux administrateurs de contrôler de nombreuses variables situationnelles, en sécurisant l’accès de façon granulaire. Dans un modèle RBAC, par exemple, il arrive que les équipes des ressources humaines puissent toujours avoir accès aux informations sensibles concernant les collaborateurs, telles que les montants des salaires et les données à caractère personnel. En revanche, le contrôle ABAC permet aux administrateurs d’implémenter des restrictions d’accès intelligentes qui tiennent compte du contexte. Par exemple, il est possible de configurer le système pour que les collaborateurs RH n’aient accès à ces informations sensibles qu’à des moments précis, ou uniquement pour le personnel de la succursale dont ils ont la charge.

Ainsi, le contrôle ABAC permet aux entreprises de combler efficacement les failles de sécurité et de respecter la confidentialité des collaborateurs, tout en répondant aux exigences de conformité réglementaire.

Quels sont les inconvénients du contrôle ABAC ?

Les avantages du contrôle ABAC compensent largement les coûts. Les entreprises doivent cependant garder à l’esprit un inconvénient particulier avant d’implémenter un contrôle d’accès basé sur les attributs : la complexité d’implémentation.

Conception et implémentation complexes

Le contrôle ABAC peut être difficile à mettre en place. Les administrateurs doivent définir manuellement les attributs, les affecter à chaque composant et créer un moteur de politiques centralisé qui détermine ce que les attributs sont autorisés à faire en fonction de diverses conditions (« si X, alors Y »). L’accent mis par le modèle sur les attributs ne permet pas d’identifier facilement les autorisations dont disposent des utilisateurs spécifiques avant que tous les attributs et règles ne soient en place.

Toutefois, si l’implémentation du contrôle ABAC peut nécessiter un temps et des ressources considérables, l’effort est payant. Les administrateurs peuvent copier et réutiliser les attributs pour des composants et postes d’utilisateurs similaires, et la mise à jour des politiques pour les nouveaux utilisateurs et les nouvelles situations d’accès est relativement simple grâce à la flexibilité du modèle.

Quel modèle de contrôle des accès est le mieux adapté à mon entreprise ?

La taille de votre entreprise constitue un facteur crucial. En raison de sa complexité de conception et d’implémentation initiale, le modèle ABAC n’est sans doute pas conseillé aux petites entreprises.

Pour les petites et moyennes entreprises, le modèle RBAC offre une alternative plus simple. Chaque utilisateur se voit attribuer un rôle unique, avec les autorisations et les restrictions correspondantes. Lorsqu’un utilisateur change de rôle, ses autorisations sont modifiées en fonction de son nouveau poste. Ainsi, dans les hiérarchies où les rôles sont clairement définis, il est facile de gérer un petit nombre d’utilisateurs internes et externes.

Cependant, un modèle où les nouveaux rôles doivent être créés manuellement n’est pas efficace pour les grandes entreprises. Une fois les attributs et règles définis, les politiques du modèle ABAC sont beaucoup plus faciles à appliquer lorsque les utilisateurs et les parties prenantes sont nombreux, tout en réduisant les risques de sécurité.

En bref, choisissez le modèle ABAC si :

• Vous êtes une grande entreprise comptant de nombreux utilisateurs.
• Vous souhaitez des capacités de contrôle d’accès spécifiques et granulaires.
• Vous avez le temps d’investir dans un modèle qui tient la distance.
• Vous devez assurer la conformité en matière de sécurité et de confidentialité.

En revanche, il vaut mieux envisager le modèle RBAC si :

• Vous êtes une petite ou moyenne entreprise.
• Vos politiques de contrôle d’accès sont relativement ouvertes.
• Vous avez peu d’utilisateurs externes et les rôles de votre entreprise sont clairement définis.

Vous hésitez encore ? Consultez notre comparatif des modèles ABAC et RBAC pour déterminer le modèle le mieux adapté à vos besoins.