Eskalace privilegií

Eskalace privilegií je bezpečnostní zranitelnost a vektor útoku ve výpočetní technice, který využívá slabinu v autentizačním mechanismu zabývajícím se řízením přístupu k získání oprávnění vyšší úrovně. Jinými slovy, uživatel se zlými úmysly s přístupem k účtu v počítačovém systému nebo síti může tuto chybu zabezpečení zneužít k získání dalších oprávnění, na která obvykle nemá právo, jako je například přístup správce.

Hlavními typy útoků na eskalaci oprávnění jsou horizontální a vertikální eskalace oprávnění. Při horizontální eskalaci oprávnění je uživatel s omezeným přístupem k systému schopen nějakým způsobem upravit systém, aby získal přístup ke zdrojům, ke kterým by normálně neměl přístup, jako jsou důvěrné dokumenty. Vertikální eskalace oprávnění nastává, když je uživatel s nízkou úrovní přístupu schopen získat vyšší oprávnění, například možnost odstraňovat, přidávat nebo upravovat soubory.

Mezi běžné vektory útoků na eskalaci privilegií patří zneužívání zranitelností softwaru, sociální inženýrství a využívání slabých stránek konfigurace. Zneužívání zranitelností softwaru obvykle zahrnuje zneužití chybných kódovacích kroků, které programátor udělal při psaní kódu pro aplikaci, což umožňuje uživatelům se zlými úmysly obejít autentizační opatření. Sociální inženýrství znamená přesvědčit uživatele, aby se vzdal svých přihlašovacích údajů, nebo je jinak zmanipulovat, aby útočníkovi udělil větší oprávnění. A zneužití slabých stránek konfigurace zahrnuje využití nastavení, která jsou nastavena příliš široce nebo nesprávně nakonfigurovaná správcem systému.

Eskalace oprávnění je považována za hlavní bezpečnostní hrozbu a organizace a jednotlivci by měli podniknout vhodné kroky k ochraně svých systémů a sítí před takovými útoky. Mezi běžná bezpečnostní opatření na ochranu před útoky eskalace privilegií patří auditování konfigurace systému a sítě, správná kontrola přístupu uživatelů, pravidelná aktualizace softwaru a silné mechanismy ověřování. Začlenění těchto bezpečnostních opatření výrazně sníží riziko úspěšného útoku eskalace oprávnění.