Im Zweifel ablehnen

Worum es geht

Wer Rechte verwaltet, kann auf zwei Arten danebenliegen. Er lässt jemanden nicht hinein, der hinein dürfte. Oder er lässt jemanden hinein, der nicht hinein dürfte. Der erste Fehler ist ärgerlich und fällt sofort auf. Der zweite fällt oft gar nicht auf, denn alles funktioniert ja.

CIAS entscheidet sich deshalb in jedem Zweifelsfall für den ersten Fehler. Das nennt man Fail-closed, auf Deutsch etwa „im Zweifel geschlossen“. Es gilt an zwei Stellen:

• beim Start: Fehlt eine Angabe, die über Rechte entscheidet, startet die Anwendung nicht. Die Fehlermeldung nennt, was fehlt.
• bei jeder Anfrage: Kann CIAS eine Frage nicht sicher beantworten, lehnt es ab, statt eine günstige Antwort anzunehmen.

Fehlt, leer oder genannt

Eine Angabe wie „welche Rollen verwalten die Plattform?“ kann drei Zustände haben. CIAS behandelt sie verschieden, und der Unterschied ist Absicht.

„Leer“ und „fehlt“ sehen im Code ähnlich aus, bedeuten aber etwas anderes. Eine leere Liste ist eine Entscheidung: „Das soll über die API niemand dürfen.“ Eine fehlende Angabe ist ein Versehen. CIAS will das Versehen beim Start sehen, nicht beim ersten Kunden.

Leer heißt dabei immer niemand, nie jeder. Eine leere Liste der Plattform-Administratorrollen bedeutet: Niemand ist Plattform-Administrator.

Was eine Installation angeben muss

Manche Angaben sind Beans. Eine Bean ist ein Objekt, das Spring beim Start zusammensteckt. Liefert keine Bibliothek sie mit, muss die Installation sie selbst anlegen. Andere Angaben sind Einstellungen in der application.yml. Beide haben keinen Standardwert.

Die Gründe sind immer dieselben. Zwei Beispiele:

• lookup ohne Standard. Wäre local der Standard, würde ein CDMS-Dienst, der die Einstellung vergessen hat, ein CIAS im eigenen Prozess fragen, das es dort gar nicht gibt. Wäre remote der Standard, würde ein eigenständiges CIAS sich selbst über HTTP fragen. Beides ist schlechter als ein Start, der gar nicht erst klappt.
• mail ohne Standard. Wäre log der Standard, würde eine Installation jede Mail als verschickt melden und keine einzige zustellen. Das merkt man erst, wenn sich Kunden beschweren.

Weitere Prüfungen beim Start

Außer fehlenden Angaben fängt CIAS beim Start noch einige Fehler ab, die sonst still Rechte öffnen würden:

Jede Anwendung mit CIAS prüft außerdem beim Start, ob Entwicklungseinstellungen übrig geblieben sind. Das gilt für das eigenständige CIAS genauso wie für jede Anwendung, die CIAS eingebettet mitbringt. Ist eine dieser Einstellungen gesetzt, startet die Anwendung nicht und nennt jede davon:

Ob ein Fund den Start verhindert, entscheidet eine Einstellung: codamai.safety.mode (als Umgebungsvariable CODAMAI_SAFETY_MODE).

Der Wert sagt, was passiert, nicht wo die Anwendung läuft. Deshalb braucht es keine eigenen Werte für jede Umgebung. Das eigenständige CIAS setzt warn nur in seinem Profil local.

Zur Laufzeit: im Zweifel ablehnen

Auch bei jeder einzelnen Anfrage gilt: Was CIAS nicht sicher weiß, wird abgelehnt. Die Tabelle zeigt die wichtigsten Stellen.

Warum lehnt CIAS ab, wenn es die Attributwerte nicht lesen kann, statt einfach „keine Werte“ anzunehmen? Weil „keine Werte“ in CDMS gefährlich nah an „alle Werte“ liegt: Ein einziges * schaltet einen Attributfilter ganz ab. Leere Werte wären also keine sichere Annahme, sondern eine Wette.

Ist die Anfrage abgelehnt, schreibt die Filterkette nichts in den RequestContext. Auch Code, der die Ablehnung übersehen würde, fände dort keinen Mandanten und keine Rollen.

Wo es Standardwerte gibt

Nicht alles in CIAS muss man einstellen. Standardwerte gibt es für alles, was keine Rechte vergibt:

Auch diese Zeiten sind sicherheitsrelevant, denn so lange kann eine Sperre verzögert wirken. Aber ein falscher Wert macht die Anwendung nur träger oder gesprächiger, er öffnet nichts.

Und manches soll den Start bewusst nicht aufhalten:

• Eine Moduldeklaration, die CIAS nicht annehmen kann, lehnt nur dieses eine Modul ab. Seine Rollen werden dann nicht geschrieben. Die Anwendung startet trotzdem, denn sonst könnte ein einziges fehlerhaftes Modul die ganze Plattform lahmlegen.
• Ein Rollenabgleich beim Start, der nicht ganz durchläuft, steht mit allen Einzelheiten im Log. Die Anwendung startet. Sonst würde sie nicht hochkommen, nur weil ein anderer Dienst gerade neu startet.
• Fehlende Metriken ändern nichts am Verhalten. Das Mandanten-Tor arbeitet ohne Messwerte genauso.

Fallen

Weiter

• Ablehnungen, die nichts verraten
• Wenn CIAS oder Keycloak ausfällt
• Den Mandanten zulassen (Mandanten-Tor)
• Die Obergrenze: niemand vergibt mehr, als er hat