Eng kam imtiyoz tamoyili: xodimga qancha huquq berish kerak

1975 yilda Jerome Saltzer va Michael Schroeder kompyuter tizimlarida maʼlumotni himoyalash haqida uzun maqola yozdi. U Proceedings of the IEEE jurnalida chop etilgan. Maqoladagi sakkizta dizayn tamoyilidan biri yarim asrdan keyin ham har bir xavfsizlik qoʻllanmasida uchraydi: har bir dastur va har bir foydalanuvchi ishni bajarish uchun zarur boʻlgan eng kichik huquqlar toʻplami bilan ishlashi kerak.

Bir jumlalik qoida va uning uchta sababi

Mualliflar qoidani uchta sabab bilan asoslaydi. Birinchisi: xato yoki avariya yetkazadigan zarar cheklanadi. Ikkinchisi: huquqli dasturlar oʻrtasidagi oʻzaro taʼsir kamayadi, shu sababli huquqdan notoʻgʻri foydalanish ehtimoli ham pasayadi. Uchinchisi: huquq suiisteʼmol qilingan degan gumon tugʻilsa, tekshirish kerak boʻlgan dasturlar soni kam boʻladi, yaʼni aybdorni topish osonlashadi.

Harbiy sohadagi «bilishi zarur boʻlsa» qoidasi ham shu gʻoyaga oʻxshaydi: maxfiy maʼlumotni lavozimi yuqori odam emas, uni ish uchun bilishi shart odam oladi.

Oddiy misol, bu gipotetik holat. Doʻkon omborchisi kirim va chiqim hujjatlarini rasmiylashtiradi, kontragentlar roʻyxatini oʻchirish huquqi esa unga kerak emas. Bu huquq berilmasa, tasodifan bosilgan tugma ham, yomon niyatli harakat ham roʻyxatni buza olmaydi.

Endi oddiy hisob-kitob, u ham gipotetik. Yigirma xodimli kompaniyada oʻn beshta odam administrator huquqi bilan ishlasa, birovning parolini aldab olishga urinuvchi uchun oʻn beshta nishon bor. Administrator ikkita boʻlsa, nishon ham ikkita. Zarar yetkazish imkoniyati huquqli hisoblar soniga bevosita bogʻliq, shuning uchun huquqni kamaytirish eng arzon himoya choralaridan biri hisoblanadi.

Boshlangʻich holat: hech narsa mumkin emas

Ikkinchi tamoyil birinchisini toʻldiradi. Saltzer va Schroeder uni ishonchli boshlangʻich holat deb ataydi: qaror ruxsatga asoslanadi, taqiqqa emas. Boshlangʻich holatda kirish yoʻq, tizim esa qachon va kimga ruxsat berilishini aniq aytib turadi.

Sabab amaliy. Katta tizimda baʼzi obyektlar yetarli eʼtibor olmay qoladi, shuning uchun ruxsat yoʻqligi boshlangʻich holat sifatida xavfsizroq. Ruxsatni beradigan qoidada xato boʻlsa, odam odatda kira olmay qoladi va muammo tez bilinadi, taqiqni sanaydigan qoidada xato boʻlsa esa odam kirib ketadi va oddiy ishda buni sezmaslik mumkin.

Yangi hisobotni «hamma koʻra oladi» holatida qoldirish bilan «hech kim koʻra olmaydi» holatida qoldirish oʻrtasidagi farq shu yerda koʻrinadi. Ikkinchi holatda xato birinchi shikoyat kelganda tuzatiladi. Birinchi holatda esa u oylar davomida, hisobotni tasodifan koʻrib qolgan odam aytguncha, sezilmasligi mumkin.

Mualliflar tamoyillar roʻyxatida yana bitta qoidani eslatadi: ikki kalit bilan ochiladigan mexanizm mustahkamroq. Kalitlar turli odamlarda turishi mumkin, shuning uchun bitta xato yoki bitta xiyonat tizimni ochib yubormaydi. Bank seyfi va yadro quroli buyrugʻi shu qoidaning misoli sifatida keltiriladi. Bu fikr vazifalarni ajratish mavzusiga yaqin va u alohida maqolada koʻriladi.

OWASP: bu xato bugun ham eng koʻp uchraydi

OWASP veb-ilovalar xavfini oʻrganuvchi ochiq tashkilot. Uning eng xavfli kamchiliklar roʻyxatida 2021 yilda buzilgan kirish nazorati birinchi oʻringa chiqqan, oldingi nashrda u beshinchi edi. Sahifada 94 foiz ilova shu kamchilikning qandaydir koʻrinishiga qarshi tekshirilgani va oʻrtacha uchrash darajasi 3,81 foiz ekani yozilgan. Toifaga 34 xato turi kiritilgan, jami 318 487 holat qayd etilgan, bu esa roʻyxatdagi boshqa toifalar bilan solishtirganda katta raqam.

Taʼrifda eng kam imtiyoz tamoyilini buzish alohida kamchilik sifatida sanalgan. Himoya choralaridan biri ham shunga mos: ochiq resurslardan tashqari hammasi uchun boshlangʻich taqiq oʻrnatish. Yana ikkita chora bor: kirish nazorati xatolarini jurnalga yozish va kerak boʻlsa masʼullarni ogohlantirish.

Sahifada ikkita oddiy hujum holati tasvirlangan. Birinchisida dastur soʻrovdagi tekshirilmagan maʼlumotdan foydalanadi, hujumchi esa manzildagi hisob raqamini almashtirib, boshqa mijozning maʼlumotini ochadi. Ikkinchisida hujumchi administrator sahifasining manzilini toʻgʻridan-toʻgʻri yozadi. Oddiy foydalanuvchi bu sahifaga kira olsa, bu kamchilik hisoblanadi. Xulosa shunday: menyudagi tugmani yashirish yetarli emas, ruxsatni har bir soʻrovda tizimning oʻzi tekshirishi kerak.

OWASP roʻyxatining 2025 yilgi nashrida ham bu toifa birinchi oʻrinda turibdi. Sahifaga koʻra, tekshirilgan ilovalarning barchasida kirish nazoratining qandaydir buzilishi topilgan, toifaga 40 xato turi kiritilgan va u yuborilgan maʼlumotdagi eng koʻp holat soniga ega. Bu raqamlar butun bozorni emas, OWASPga yuborilgan maʼlumotlarni aks ettiradi, shuning uchun ularni yoʻnalish sifatida olish toʻgʻriroq.

NIST: tamoyil tekshiriladigan talabga aylanadi

NIST SP 800-53 AQShning axborot tizimlari uchun xavfsizlik va maxfiylik choralari katalogi. Beshinchi tahriri 2020 yil sentyabrda chiqqan. Kirish nazorati guruhida eng kam imtiyozga alohida band bagʻishlangan. Band shunday talab qiladi: faqat vakolatli foydalanuvchilarga va ularning nomidan ishlaydigan jarayonlarga, tashkilot topshiriqlarini bajarishga zarur kirishni ruxsat berish.

Izohda ikkita muhim nuqta bor. Qoida odamlarga ham, tizim jarayonlariga ham qoʻllanadi. Eng kam imtiyozga erishish uchun qoʻshimcha rol va hisoblar yaratish ham kerak boʻlishi mumkin, yaʼni bitta umumiy hisob oʻrniga bir nechta tor hisob ochish qoidaga zid emas, balki uning oʻzidan kelib chiqadigan talab.

Katalogda bandni kuchaytiradigan qoʻshimchalar ham bor. Ulardan toʻrttasi amaliy:

• Xavfsizlik huquqiga ega xodim oddiy vazifalarni imtiyozsiz hisobdan bajaradi.
• Imtiyozli hisoblar belgilangan odamlar yoki rollar bilan cheklanadi.
• Huquqlar davriy koʻrib chiqiladi, keraksizi qayta tayinlanadi yoki olib tashlanadi.
• Imtiyozli amallar jurnalga yoziladi.

Odoo 20 misoli: integratsiya uchun alohida foydalanuvchi

Odoo 20 hujjatida bu qoida aniq tavsiya sifatida yozilgan. Tashqi dastur Odoo bilan yangi interfeys orqali ishlaganda, har bir amal ulangan foydalanuvchining kirish huquqlari, yozuv qoidalari va maydon ruxsatlariga qarab tekshiriladi. Demak, dasturning kuchi uni ishlatayotgan hisobning kuchidan oshmaydi.

Uzoq vaqt ishlaydigan integratsiya uchun hujjat alohida bot foydalanuvchi yaratishni tavsiya qiladi. Shaxsiy hisob esa faqat bir martalik tekshiruv yoki yordamchi skriptlar uchun yetarli deb hisoblanadi. Hujjat bot foydalanuvchining uchta foydasini sanaydi:

• Botga eng kam zarur huquq beriladi, kalit oʻgʻirlansa zarar chegaralangan boʻladi.
• Parolni boʻsh qoldirib, login va parol bilan kirishni oʻchirib qoʻyish mumkin.
• Kirish jurnalida amallar botning nomi bilan yoziladi, hech kimning nomidan emas.

Hujjat yana bir tavsiya beradi: har bir xizmat yoki integratsiya uchun alohida kalit olish, shunda tekshirish va bekor qilish osonlashadi. Bitta kalit bilan oʻnta dastur ishlasa, bittasi buzilganda ham oʻntasini toʻxtatishga, ularning har birini qayta sozlashga toʻgʻri keladi.

Odoo 19 hujjati foydalanuvchilarni toʻrt turga boʻladi: administrator, oddiy ichki foydalanuvchi, portal va ommaviy. Har bir ilova uchun daraja alohida tanlanadi: ruxsat yoʻq, faqat oʻz hujjatlari, hamma hujjatlar yoki administrator. Bu bosqichlar eng kam imtiyozni sozlashga tayyor shkala beradi.

Masalan, savdo menejeriga «faqat oʻz hujjatlari» darajasi mos keladi: u oʻz buyurtmalarini koʻradi, hamkasbining buyurtmalarini emas. Savdo boʻlimi rahbariga «hamma hujjatlar» kerak boʻlishi mumkin, chunki u butun jamoaning ishini nazorat qiladi. Ikkalasiga ham administrator darajasi kerak emas. Bu gipotetik misol, lekin shkalaning mantiqini koʻrsatadi: daraja lavozimning ishidan chiqadi, qulaylikdan emas.

Hujjat ogohlantirishlarni ham keltiradi. Huquqlarni notoʻgʻri oʻzgartirish bazaga salbiy taʼsir qilishi, hatto huquqlarni hech kim oʻzgartira olmaydigan holatga olib kelishi mumkin. Shuning uchun har bir oʻzgarishdan keyin uning aynan kerakli foydalanuvchilarga tegishli ekanini sinab koʻrish tavsiya etiladi.

Qoida qayerda buziladi

Saltzer va Schroeder oʻz tamoyillarini mutlaq qoida deb emas, ogohlantirish deb atagan. Buzilish xavfni bildiradi va dizaynni qayta koʻrib chiqishga sabab boʻladi. Yaʼni istisno boʻlishi mumkin, lekin u har safar izohlanishi va yozib qoʻyilishi kerak.

Eng koʻp uchraydigan buzilish: huquqni «har ehtimolga qarshi» koʻproq berish. Bu qulay: xodim ishdan toʻxtamaydi va qoʻshimcha soʻrov yozilmaydi, zarar esa keyinroq, baʼzan bir necha yildan keyin koʻrinadi. Xodim boʻlimni almashtirsa, eski huquq qolib ketishi mumkin va yillar oʻtib bitta hisobda bir necha vazifaning huquqi toʻplanadi, ammo hech kim uni oʻzi uchun ortiqcha deb hisoblamaydi. Bu tahririyat mulohazasi. NIST ning davriy koʻrib chiqish talabi aynan shu xavfga javob beradi, lekin katalog sabab keltirmaydi.

Mualliflar yana bir tamoyilni sanaydi: inson bilan ishlaydigan qism foydalanishga qulay boʻlishi shart. Himoya oʻta noqulay boʻlsa, odamlar uni chetlab oʻtadi. Masalan, vaqtni tejash uchun bitta umumiy login bilan ishlay boshlaydi va kim nima qilganini keyin aniqlab boʻlmaydi. Bu ham tahririyat mulohazasi, ammo shu sababli rollar soni oqilona boʻlishi kerak: oʻnlab mayda rol oʻrniga lavozimlarga mos bir necha tushunarli rol afzal.

Xodim qoʻshimcha huquq soʻraganda

Eng koʻp bahs shu paytda chiqadi: xodim «menga ham ruxsat bering» deydi, rahbar esa ishni toʻxtatib qoʻymaslik uchun darrov rozi boʻladi. Bunday vaziyatda uchta oddiy savol yordam beradi. Huquq qaysi aniq ish uchun kerak? U boʻlmasa nima ishlamaydi? Uni butunlay emas, bir necha kunga yoki bitta hujjat turi bilan cheklab berish mumkinmi? Bu savollar manbalarda tayyor shaklda yoʻq, ular eng kam imtiyoz mantiqidan chiqarilgan tahririyat xulosasi.

Javob aniq boʻlsa, huquq beriladi va sababi yozib qoʻyiladi. Javob noaniq boʻlsa, soʻrov tugʻilgan ishning oʻzini aniqlash kerak, chunki koʻpincha muammo huquqda emas, jarayonning notoʻgʻri taqsimlanganida boʻladi va uni huquq bilan tuzatib boʻlmaydi.

Amalda nima qilish mumkin

Quyidagi qadamlar manbalardagi mantiqdan chiqarilgan tahririyat xulosasi, tayyor protokol emas.

1. Har bir lavozim uchun kerakli ishlarni yozing: nimani koʻradi, nimani yaratadi, nimani tasdiqlaydi.
2. Yangi foydalanuvchi uchun boshlangʻich holatni boʻsh qoldiring va huquqni ish roʻyxatidan chiqarib bering.
3. Imtiyozli hisoblar sonini sanang va har birining nima uchun kerakligini bir jumlada yozing.
4. Har bir integratsiya uchun alohida foydalanuvchi va alohida kalit oching, ularning huquqini ish bilan cheklang.
5. Huquqlarni davriy koʻrib chiqish sanasini belgilang. Xodim boʻlim almashtirganda ham koʻrib chiqing.

Kichik kompaniyada bitta odam koʻp ishni bajaradi, shuning uchun qoida u yerda yumshaydi va rollarni juda mayda boʻlish ham maʼnosiz. Qaysi huquqdan voz kechib boʻlmasa, hech boʻlmasa uning ishlatilishi jurnalga tushishi kerak: NIST ning imtiyozli amallarni yozib borish talabi shu holat uchun mos keladi.