🔥 До сих пор используешь RBAC? А зря!

Большинство систем контроля доступа до сих пор живут в парадигме «пользователь → роль → доступ». Это работает, пока система статична. Но в реальности атаки происходят уже после логина, через последовательности действий, подмену запросов и использование легитимных API не по назначению.

Проблема в том, что классические модели проверяют идентичность, но не контролируют поведение.

🧠 Что меняется

Подход RTS-ABAC предлагает принимать решения о доступе в реальном времени с учётом контекста: состояния системы, типа операции и даже текущего момента времени.

Политики становятся «живыми»: часть можно кешировать, а часть пересчитывается на лету. Это даёт баланс между гибкостью и задержками.
Архитектурно логика принятия решений отделяется от исполнения: одни компоненты считают, другие просто применяют результат.

За счёт этого появляется централизованный контроль без перегрузки сервисов.

🔐 Динамика управления

Фокус смещается с «кто ты» на «что происходит». Даже валидный запрос может быть отклонён, если он выбивается из нормального поведения системы .
Это усложняет replay-атаки, подмену сообщений и скрытую эскалацию через API.

⏱ Про задержки

Практика показывает, что ~99.8% запросов укладываются в ~6 мс . Причём основная задержка не в политиках, а в криптографии.

💣 Цена вопроса

Больше контроля = больше сложности. Появляются новые компоненты и потенциальные точки атаки (например, DoS на уровень управления политиками).
Это не «серебряная пуля», а инструмент для зрелых систем.

RBAC заканчивается там, где начинается динамика.
Дальше только контекстный доступ и решения в реальном времени.

📄 Исследование RTS-ABAC: https://arxiv.org/abs/2603.23012

Stay secure and read SecureTechTalks 📚

#cybersecurity #infosec #zerotrust #abac #accesscontrol #appsec #cloudsecurity #devsecops #securityarchitecture #hacking