En tjenestekonto eller applikasjonskonto er en digital identitet brukt av en applikasjonsprogramvare eller tjeneste for å interagere med andre applikasjoner eller operativsystemet. De brukes ofte for maskin-til-maskin-kommunikasjon (M2M), for eksempel programmeringsgrensesnitt (API). Tjenestekontoen kan være en priviligert identitet innenfor konteksten av applikasjonen.
Oppdatering av passord Lokale tjenestekontoer kan interagere med forskjellige komponenter av operativsystemet, hvilket gjør koordinering av passordendringer vanskelig. Dette medfører at passord til tjenestekontoer i praksis sjelden byttes, hvilket utgjør et betydelig sikkerhetsspørsmål for en organisasjon.
Noen typer tjenestekontoer har ikke passord.
Vide tilganger Tjenestekontoer brukes gjerne av applikasjoner for å få tilgang til databaser, kjøre batch-jobber eller skript, eller for å gi tilgang til andre applikasjoner. Slike priviligerte identieter har ofte vide tilganger til virksomhetens underliggende datalagre som ligger i applikasjoner og databaser.
Passord for slike kontoer er ofte bygget inn og lagret i klartekst-filer, hvilket gir en sårbarhet som kan repliseres på tvers av flere tjenere for å gi feiltoleranse for applikasjoner. Denne sårbarheten utgjør en signifikant risiko for en organisasjon fordi applikasjonen ofte huser akkurat den type data som er interessante for avanserte vedvarende trusler.
Tjenestekontoer er en ikke-personlig digital identitet og kan deles.
Misbruk Google Cloud lister opp flere muligheter for misbruk av tjenestekontoer:
Eskalering av privilegier: Noen utgir seg for å være tjenestekontoen Spoofing: Noen etterligner tjenestekontoen for å skjule sin identitet Ikke-fornektelse (non-repudiation): Utførelse av handlinger på på sine vegne med en tjenestekonto i tilfeller hvor det ikke er mulig å spore handlingene til misbrukeren) Informasjonsavsløring: Uvedkommende henter ut informasjon om infrastruktur, applikasjoner eller prosesser
Se også Kerberos Service Account, en tjenestekonto i Kerberos (protokoll) Administrert tjenestekonto, en tjenestekonto innen administrerte tjenester (managed services) Priviligert identitetskontroll (privileged identity management) Programvarerobot
Referanser
Kategori:Programvare Kategori:Datasikkerhet