1. À propos de l'ABAC en cybersécurité

Dans un système informatique, tous les utilisateurs ne doivent pas pouvoir accéder aux mêmes ressources. Il est donc nécessaire de mettre en place des mécanismes permettant de déterminer précisément qui peut accéder à quoi et dans quelles conditions.

L'ABAC, acronyme de Attribute-Based Access Control, est un modèle de contrôle d'accès dans lequel les décisions d'autorisation sont prises à partir d'attributs associés à l'utilisateur, à la ressource, à l'action demandée et à l'environnement.

L'ABAC permet ainsi de construire des règles d'accès beaucoup plus précises et dynamiques que de simples autorisations attribuées directement à chaque utilisateur.

2. Qu'est-ce que l'ABAC ?

ABAC signifie Attribute-Based Access Control, que l'on peut traduire par contrôle d'accès basé sur les attributs.

Dans ce modèle, l'accès à une ressource est accordé ou refusé après l'évaluation d'un ensemble d'attributs et de règles de sécurité.

Par exemple, une organisation peut définir la règle suivante :

Un enseignant peut consulter les documents pédagogiques de son établissement uniquement s'il est authentifié, appartient au département concerné et se connecte depuis un appareil autorisé.

La décision ne dépend donc pas seulement de l'identité de l'utilisateur. Elle peut également prendre en compte son département, sa fonction, la ressource demandée, son appareil, l'heure de connexion ou encore sa localisation réseau.

3. Comment fonctionne l'ABAC ?

Lorsqu'un utilisateur tente d'accéder à une ressource, le système récupère différents attributs puis les compare aux règles définies dans une politique de sécurité.

Le fonctionnement général peut être représenté par la chaîne suivante :

Utilisateur → Demande d'accès → Collecte des attributs → Évaluation de la politique → Autorisation ou refus

Supposons qu'un utilisateur souhaite modifier un document confidentiel. Le système peut vérifier :

• son identité ;
• son rôle dans l'organisation ;
• son département ;
• le niveau de confidentialité du document ;
• l'action demandée ;
• l'heure de connexion ;
• le type d'appareil utilisé.

L'accès est accordé uniquement lorsque les conditions définies par la politique ABAC sont satisfaites.

4. Les différents types d'attributs

Le fonctionnement de l'ABAC repose généralement sur plusieurs catégories d'attributs.

Attributs de l'utilisateur

Ils décrivent la personne ou l'entité qui demande l'accès.

• identité ;
• fonction ;
• département ;
• niveau d'habilitation ;
• groupe d'appartenance.

Attributs de la ressource

Ils décrivent la ressource à laquelle l'utilisateur souhaite accéder.

• type de fichier ;
• propriétaire ;
• niveau de confidentialité ;
• service concerné ;
• classification de la donnée.

Attributs de l'action

Ils correspondent à l'opération que l'utilisateur souhaite réaliser.

• lecture ;
• écriture ;
• modification ;
• suppression ;
• téléchargement.

Attributs de l'environnement

Ils correspondent au contexte dans lequel la demande est effectuée.

• heure ;
• jour ;
• adresse IP ;
• réseau utilisé ;
• type d'appareil ;
• état de sécurité du terminal.

5. Les politiques de contrôle d'accès ABAC

Une politique ABAC est un ensemble de règles indiquant les conditions dans lesquelles une action est autorisée ou interdite.

Une règle peut par exemple être formulée ainsi :

Autoriser la lecture du document si le département de l'utilisateur est identique au département du document et si son niveau d'habilitation est suffisant.

Une autre politique pourrait imposer :

Autoriser l'accès à l'application administrative uniquement aux employés authentifiés utilisant un appareil professionnel pendant les heures de travail.

Les politiques permettent donc de combiner plusieurs critères afin d'obtenir un contrôle d'accès contextuel et précis.

6. Exemple concret d'utilisation de l'ABAC

Prenons l'exemple d'une plateforme contenant des documents administratifs et pédagogiques.

Un utilisateur possède les attributs suivants :

• fonction : enseignant ;
• département : mathématiques ;
• établissement : Centre A ;
• appareil : ordinateur professionnel ;
• état : authentifié.

Un document possède les attributs suivants :

• type : document pédagogique ;
• département : mathématiques ;
• niveau : interne.

La politique de sécurité peut indiquer :

Un enseignant peut consulter un document pédagogique lorsque son département correspond au département du document et qu'il utilise un appareil autorisé.

Dans cet exemple, l'accès sera accordé puisque les attributs de l'utilisateur et de la ressource satisfont les conditions imposées.

Si le même enseignant tente d'accéder à un document classifié appartenant à un autre département, la politique peut automatiquement refuser l'accès.

7. ABAC et RBAC : quelles différences ?

L'ABAC est souvent comparé au RBAC, ou Role-Based Access Control.

Dans le modèle RBAC, les autorisations sont principalement attribuées en fonction du rôle de l'utilisateur.

Par exemple :

• Administrateur → accès complet ;
• Enseignant → accès aux ressources pédagogiques ;
• Étudiant → consultation de certaines ressources.

Dans un modèle ABAC, la décision peut utiliser beaucoup plus d'informations :

• rôle = enseignant ;
• département = mathématiques ;
• appareil = professionnel ;
• réseau = réseau interne ;
• heure = entre 08h00 et 18h00.

Le RBAC repose donc essentiellement sur les rôles, tandis que l'ABAC permet de combiner plusieurs attributs et conditions.

8. Les avantages de l'ABAC

L'ABAC présente plusieurs avantages importants pour la sécurité informatique.

• Granularité : les autorisations peuvent être définies avec une grande précision.
• Flexibilité : plusieurs attributs peuvent être combinés dans une même règle.
• Adaptation au contexte : l'heure, le réseau ou l'appareil peuvent influencer la décision.
• Automatisation : les décisions peuvent être appliquées automatiquement à partir des politiques.
• Évolutivité : il n'est pas nécessaire de créer manuellement une autorisation particulière pour chaque utilisateur.
• Réduction des privilèges excessifs : l'accès peut être limité précisément aux ressources nécessaires.

Ces caractéristiques rendent l'ABAC particulièrement intéressant pour les organisations possédant un grand nombre d'utilisateurs et de ressources.

9. Les limites de l'ABAC

Malgré ses avantages, l'ABAC peut être plus complexe à mettre en œuvre qu'un système de contrôle d'accès traditionnel.

Parmi ses principales limites figurent :

• la définition d'un grand nombre d'attributs ;
• la création de politiques parfois complexes ;
• la nécessité de maintenir les attributs à jour ;
• la difficulté d'analyser les conflits entre certaines règles ;
• le besoin d'une bonne gouvernance des identités et des ressources.

Une mauvaise conception des politiques ABAC peut rendre le système difficile à administrer. Les règles doivent donc rester compréhensibles, documentées et régulièrement contrôlées.

10. ABAC et principe du moindre privilège

Le principe du moindre privilège consiste à donner à un utilisateur uniquement les permissions dont il a réellement besoin pour effectuer son travail.

L'ABAC facilite l'application de ce principe car une autorisation peut dépendre simultanément de plusieurs conditions.

Un employé peut, par exemple, être autorisé à consulter un document sans avoir le droit de le modifier ou de le supprimer.

Une autre politique peut autoriser l'accès uniquement depuis un appareil professionnel et depuis le réseau interne de l'organisation.

L'ABAC permet ainsi de réduire la surface d'exposition des ressources et les conséquences potentielles d'un compte compromis.

11. Applications de l'ABAC en cybersécurité

Le contrôle d'accès basé sur les attributs peut être utilisé dans de nombreux environnements informatiques.

Applications Cloud

Les plateformes Cloud peuvent utiliser des attributs pour déterminer quels utilisateurs ou services peuvent accéder à certaines ressources.

Applications d'entreprise

Une organisation peut limiter l'accès à ses applications en fonction du département, de la fonction, du niveau d'habilitation ou du terminal utilisé.

Protection des données sensibles

Les documents peuvent recevoir des attributs correspondant à leur niveau de confidentialité afin d'en limiter automatiquement l'accès.

Architecture Zero Trust

L'ABAC peut participer à une stratégie Zero Trust en permettant de prendre des décisions d'accès à partir de plusieurs informations contextuelles au lieu de considérer qu'un utilisateur est automatiquement digne de confiance après son authentification.

API et applications Web

Les applications peuvent utiliser des politiques ABAC pour contrôler précisément les opérations qu'un utilisateur peut effectuer sur certaines ressources.

12. À retenir

L'ABAC ou Attribute-Based Access Control est un modèle de contrôle d'accès dans lequel les autorisations sont déterminées à partir d'attributs et de politiques de sécurité.

Ces attributs peuvent concerner l'utilisateur, la ressource, l'action demandée ou encore l'environnement dans lequel la demande est effectuée.

Contrairement au RBAC, principalement basé sur les rôles, l'ABAC permet de prendre en compte plusieurs critères simultanément et d'obtenir un contrôle d'accès beaucoup plus précis.

L'ABAC est particulièrement adapté aux systèmes nécessitant des politiques d'autorisation dynamiques et granulaires. Il contribue également à l'application du principe du moindre privilège et peut être intégré dans des stratégies modernes de sécurité telles que le Zero Trust.

Auteur : Younes Derfoufi
Lieu de travail : CRMEF OUJDA
Site Web : www.tresfacile.net
Chaine YouTube : https://www.youtube.com/user/InformatiquesFacile
Me contacter : https://www.tresfacile.net/me-contacter/