El grafo de relaciones entre identidades y recursos

Un grafo tiene dos piezas. Los nodos son las cosas: personas, grupos, roles y recursos. Las aristas son las relaciones, con un origen, un tipo y un destino: «miembro de», «puede asumir», «lee», «escribe», «se ejecuta como». Cualquier grafo se puede guardar en dos tablas, una de nodos y otra de aristas, y recorrer con consultas recursivas.

La ventaja sobre una tabla de permisos por identidad es el camino. Una persona puede no tener ningún permiso directo sobre un dato y, sin embargo, alcanzarlo en tres o cuatro saltos. Esos caminos no se ven mirando una identidad a la vez.

Lee las aristas del rol de la aplicación web. Escribe en un almacenamiento público, algo esperado para un sitio estático. Pero tiene también una relación de asunción hacia otro rol, y ese otro rol lee datos de finanzas. Un permiso de «puede asumir» es una puerta entre roles: quien tiene el primero hereda, de hecho, lo que puede el segundo.

Estas confianzas entre roles se crean para una tarea concreta y se olvidan. Un grafo las pone a la vista porque las dibuja como aristas.

Para cuantificar el hallazgo hace falta contar personas, no roles ni grupos. La consulta recursiva recorre las aristas desde cada origen y devuelve el camino más corto hasta el dato; filtrando por el tipo de origen «persona» queda la lista de quién puede llegar, con los saltos que necesita.

Cuenta cada persona una sola vez. Un recurso, como la aplicación web, también llega al dato por el rol que usa, pero no es una persona y no entra en esta cuenta.

Cuando un camino llega donde no debe, la corrección se hace sobre una arista, no sobre el nodo de destino. Esconder o borrar el dato no arregla el acceso: lo oculta del inventario, que es peor. Y quitar a la persona del grupo donde sí corresponde quita un permiso legítimo.

La arista sospechosa es la que se creó sin una razón de negocio: una asunción de rol entre dos roles que no necesitan hablarse. Se revisa con quien administra los roles y, si no hay justificación, se retira.