Predstavte si toto. Útočník sa dostane k jedinej sade uniknutých prihlasovacích údajov AWS alebo Azure. Možno to bol inžinier, ktorý omylom nahral súbor .env do verejného repozitára GitHub, alebo možno phishingový e-mail zafungoval na mladšieho vývojára. Na prvý pohľad to nevyzerá ako katastrofa. Prihlasovacie údaje patria iba používateľovi s nízkou úrovňou prístupu "Read Only" alebo obmedzenému servisnému účtu s prístupom k jednému malému S3 bucketu. Možno si pomyslíte, dobre, to je nepríjemnosť, ale v skutočnosti nemôžu nič robiť.
Ale v tom sa mýlite. V cloudovom prostredí je "nízka úroveň" vstupného bodu často len prvým krokom v reťazci udalostí nazývanom eskalácia privilégií. V priebehu niekoľkých minút sa ten útočník nepozerá len na jeden bucket; našiel spôsob, ako prevziať silnejšiu rolu, uniesol administratívny token a teraz má plnú kontrolu nad celým vašim produkčným prostredím. Môže vymazať vaše zálohy, ukradnúť vašu zákaznícku databázu alebo nasadiť crypto-miners, ktoré počas víkendu vygenerujú šesťciferný účet.
Cloudová eskalácia privilégií sa líši od tradičnej on-prem eskalácie. Nehľadáte len chybný kernel alebo nesprávne nakonfigurovaný súbor sudoers. Zaoberáte sa komplexnými politikami Identity and Access Management (IAM), rolami prepojenými so službami a závratným množstvom cloud-native povolení, ktoré je takmer nemožné sledovať manuálne.
Jediný spôsob, ako zistiť, či je váš "uzamknutý" cloud skutočne bezpečný, je pokúsiť sa doň preniknúť. Tu prichádza na rad Penetration Testing. Simuláciou týchto presných útočných ciest môžete nájsť diery skôr, ako to urobí niekto so zlými úmyslami.
Čo presne je Cloud Privilege Escalation?
Skôr ako sa dostaneme k tomu, ako to zastaviť, musíme si ujasniť, proti čomu bojujeme. Eskalácia privilégií je akt získania vyššej úrovne povolenia, ako bolo pôvodne zamýšľané. V cloude sa to zvyčajne deje dvoma spôsobmi: vertikálna eskalácia a horizontálna eskalácia.
Vertikálna Privilege Escalation
Toto je klasický scenár "šplhania po rebríku". Útočník začína ako štandardný používateľ a nájde cestu, ako sa stať administrátorom. Napríklad môže zistiť, že má povolenie iam:CreatePolicyVersion. Na prvý pohľad sa to zdá špecifické. Ale v skutočnosti mu toto povolenie umožňuje zmeniť svoju vlastnú politiku tak, aby si udelil AdministratorAccess. Takto preskočil z obmedzeného používateľa na kráľa kopca.
Horizontálna Privilege Escalation
Toto je skôr "bočný krok". Tu útočník nemusí nevyhnutne získať viac moci, ale získa inú moc. Môže sa presunúť z jedného používateľského účtu na iný používateľský účet, ktorý má rovnakú úroveň privilégií, ale prístup k rôznym údajom. Ak sa nachádza v prostredí s viacerými nájomníkmi alebo v spoločnosti s mnohými samostatnými priečinkami projektov, horizontálny pohyb mu umožňuje zoškrabať údaje z celej organizácie, kým nenájde "šťavnatý" účet, ktorý umožňuje vertikálnu eskaláciu.
Prečo to Cloud uľahčuje
V tradičnom dátovom centre je pohyb často obmedzený segmentáciou siete (VLAN, firewally). V cloude primárny perimeter nie je sieť – je to identita. Ak sú vaše politiky IAM príliš široké, "sieť" je v podstate otvorená. Jedna nesprávne nakonfigurovaná rola môže fungovať ako most, ktorý útočníkovi umožní preskočiť z verejného webového servera priamo do vášho správcu tajomstiev.
Bežné cesty, ktoré útočníci používajú na eskaláciu privilégií
Útočníci zvyčajne nehádajú cestu na vrchol; riadia sa známymi vzormi. Ak rozumiete týmto vzorom, môžete proti nim vybudovať obranu.
1. Pre-privilegované servisné účty
Toto je najčastejší vinník. Vývojári často dávajú virtuálnemu stroju (ako je inštancia EC2 alebo Azure VM) "Managed Identity" alebo "IAM Role", aby aplikácia mohla komunikovať s databázou. Aby ušetrili čas počas vývoja, často dajú tejto role prístup Contributor alebo PowerUser.
Ak útočník nájde zraniteľnosť Server-Side Request Forgery (SSRF) vo webovej aplikácii, môže sa dotazovať na cloudovú službu metadát (IMDS). Táto služba doslova odovzdá dočasné bezpečnostné prihlasovacie údaje pre rolu pripojenú k tomuto stroju. Teraz útočník operuje s týmito povoleniami na vysokej úrovni zo svojho vlastného laptopu.
2. Pasca "PassRole"
V AWS je povolenie iam:PassRole častým zdrojom eskalácie. Umožňuje používateľovi priradiť rolu k zdroju. Ak má používateľ iam:PassRole a povolenie na vytvorenie novej funkcie Lambda, môže jednoducho vytvoriť funkciu Lambda, priradiť jej rolu AdministratorAccess a potom spustiť túto funkciu na vytvorenie nového admin používateľa pre seba. Nemal admin práva, ale mal právo dať admin práva nástroju, ktorý ovládal.
3. Nesprávne nakonfigurované vzťahy dôvery
Cloudové roly majú často "politiky dôvery", ktoré definujú, kto ich môže prevziať. Ak je politika dôvery príliš povoľujúca – napríklad umožňuje každému overenému používateľovi v organizácii prevziať špecializovanú rolu "Backup" – útočník, ktorý kompromituje akýkoľvek jeden zamestnanecký účet, môže teraz preskočiť do tejto roly Backup, ktorá má pravdepodobne široký prístup na čítanie ku každému jednému kusu dát v cloude.
4. Krádež tokenov a únos relácie
Cloudové konzoly používajú session tokeny. Ak útočník môže ukradnúť session cookie cez XSS alebo nájsť súbor .aws/credentials vývojára vo verejnej snímke, nepotrebuje prelomiť heslo. Jednoducho sa "stane" týmto používateľom. Ak je tento používateľ náhodou DevOps inžinier s vysokými privilégiámi, hra sa skončila.
Prečo automatizované skenovanie nestačí
Pravdepodobne ste použili nástroj na správu cloudového bezpečnostného postoja (CSPM). Sú skvelé na hľadanie "nízko visiaceho ovocia", ako sú otvorené S3 buckety alebo zakázané MFA. Ale CSPM sú vo všeobecnosti "statické". Pozrú sa na konfiguráciu a povedia: "Toto vyzerá zle."
Eskalácia privilégií je "dynamická." Ide o vzťah medzi rôznymi povoleniami. CSPM vám môže povedať, že používateľ A má iam:CreatePolicyVersion a nemusí to ani označiť ako vysoké riziko, pretože je to bežné povolenie pre niektorých administrátorov. Avšak, Penetration Tester sa pozrie na používateľa A a pýta sa: "Môže tento používateľ použiť toto konkrétne povolenie na zmenu svojej vlastnej roly a stať sa administrátorom?"
Odpoveď na túto otázku si vyžaduje reťazec logiky:
- Skontrolujte aktuálne povolenia $\rightarrow$ 2. Identifikujte "nebezpečné" povolenia $\rightarrow$ 3. Otestujte, či sa tieto povolenia dajú použiť na úpravu aktuálnej identity $\rightarrow$ 4. Vykonajte eskaláciu.
Automatizované nástroje majú s týmto reťazcom problémy. Vidia jednotlivé tehly, ale nevidia most, ktorý útočník stavia. Preto je manuálne a poloautomatizované Penetration Testing – ten druh, ktorý ponúkajú platformy ako Penetrify – pre serióznu bezpečnosť nevyhnutné.
Ako Penetration Testing zastaví eskaláciu
Pentesting nenachádza len chyby; overuje celý váš bezpečnostný model. Tu je návod, ako štruktúrovaný prístup k pentestingu špecificky eliminuje cesty eskalácie privilégií.
Mapovanie priestoru útoku
Pentester začína mapovaním každého vstupného bodu. To zahŕňa verejné API, zabudnuté vývojové prostredia a integrácie tretích strán. Nájdením "najslabšieho" vstupného bodu môžu simulovať, ako by skutočný útočník vstúpil do vášho systému.
Testovanie "okruhu deštrukcie"
Po nájdení vstupného bodu sa tester pokúsi určiť okruh deštrukcie. Ak kompromitujú malú mikroslužbu, môžu sa dostať do databázy? Môžu upraviť konfiguráciu siete? Dokumentovaním presne toho, ako ďaleko môžu ísť, vám ukážu skutočný dopad vašich nastavení IAM.
Identifikácia privilégií "tieňového administrátora"
Vo vašom systéme sú používatelia, ktorí nie sú označení ako "Administrátori", ale v skutočnosti nimi sú. Títo sa nazývajú "Tieňoví administrátori." Môžu mať možnosť resetovať heslá alebo upravovať členstvo v skupinách. Pentester bude hľadať tieto skryté cesty, ktoré vaše audítorské záznamy môžu ignorovať.
Validácia monitoringu a upozornení
Najnebezpečnejšia časť eskalácie privilégií je, že je často tichá. Mnohé spoločnosti si uvedomia, že boli napadnuté, až keď sa ich údaje objavia na stránke s únikom dát. Pentest testuje vaše SOC (Security Operations Center). Spustili sa vaše upozornenia, keď používateľ s nízkou úrovňou zrazu začal volať CreateUser alebo AttachUserPolicy? Ak nie, máte problém s viditeľnosťou, ktorý je rovnako nebezpečný ako problém s povoleniami.
Podrobný návod na posilnenie vašich cloudových povolení
Zatiaľ čo pentesting nájde diery, potrebujete stratégiu na ich zaplátanie. Nemôžete len odstrániť každé povolenie – vaši vývojári prestanú byť schopní pracovať. Namiesto toho sa zamerajte na tieto konkrétne kroky posilnenia.
1. Implementujte prísny model "Least Privilege"
Prestaňte používať spravované politiky ako AdministratorAccess alebo PowerUserAccess pre ľudských používateľov. Vytvorte vlastné politiky, ktoré udeľujú iba konkrétne akcie potrebné pre danú prácu.
- Zlé: Udelenie prístupu
s3:*vývojárovi. - Dobré: Udelenie prístupu
s3:GetObjectas3:PutObjectvývojárovi iba pre konkrétne buckety, ktoré potrebujú pre svoj projekt.
2. Používajte hranice povolení (príklad AWS)
Hranice povolení sú účinný spôsob, ako zastaviť eskaláciu. Hranica je politika, ktorá nastavuje maximálne povolenia, ktoré môže mať identita. Aj keď má používateľ politiku, ktorá mu udeľuje AdministratorAccess, ak jeho hranica povolení hovorí, že sa nemôže dotknúť nastavení IAM, je zablokovaný. To účinne eliminuje útočné vektory iam:PassRole a iam:CreatePolicyVersion.
3. Vynúťte Just-In-Time (JIT) prístup
Prečo potrebuje inžinier prístup Admin 24/7? Nepotrebuje. Implementujte systém, v ktorom používatelia nemajú žiadne trvalé privilégiá. Keď potrebujú vykonať konkrétnu úlohu, požiadajú o zvýšený prístup, ktorý sa im udelí na obmedzené časové obdobie (napr. 2 hodiny) a potom sa automaticky zruší. To zmenšuje okno príležitosti pre útočníka, ktorý ukradne poverenia.
4. Auditujte svoje roly služieb
Prejdite si každý jeden VM, funkciu Lambda a kontajner. Opýtajte sa: Potrebuje toto rolu? A ak áno, má príliš veľkú moc? Použite nástroje na analýzu povolení "naposledy použitých". Ak má rola služby 50 povolení, ale za posledných 90 dní použila iba 5 z nich, odstráňte ostatných 45.
5. Uzamknite službu metadát
Ak používate AWS, prejdite na IMDSv2. Na rozdiel od IMDSv1 vyžaduje token orientovaný na reláciu, čo útočníkovi výrazne sťažuje použitie zraniteľnosti SSRF na krádež cloudových poverení.
Porovnanie: Statická analýza vs. Penetration Testing
Aby ste lepšie pochopili, prečo potrebujete kombinovaný prístup, pozrime sa, ako tieto dve metódy zvládajú typický scenár eskalácie privilégií.
| Funkcia | Statická analýza (CSPM) | Penetration Testing (napr. Penetrify) |
|---|---|---|
| Metóda detekcie | Kontroluje konfiguráciu oproti kontrolnému zoznamu. | Aktívne sa pokúša zneužiť konfiguráciu. |
| Kontext | Nízky. Vidí "pravidlo." | Vysoký. Vidí "cestu k administrátorovi." |
| False Positives | Vysoký. Označuje veci, ktoré nie sú skutočne zneužiteľné. | Nízky. Ak sa tester dostal k administrátorovi, je to skutočné riziko. |
| Rýchlosť | Rýchla, nepretržitá. | Pomalšia, bodová alebo periodická. |
| Výsledok | Zoznam "nevyhovujúcich" nastavení. | Preukázaný útočný reťazec s krokmi na nápravu. |
| Zameranie | Hygiena a súlad. | Odolnosť voči útočníkom. |
Scenár zo skutočného sveta: "DevOps" skok
Dovoľte mi uviesť konkrétny príklad toho, ako v reálnom svete dochádza k eskalácii privilégií a ako by to zachytil Penetration Test.
Nastavenie:
Spoločnosť má rolu "DevOps", ktorú používa CI/CD pipeline (ako Jenkins alebo GitHub Actions). Táto rola má možnosť aktualizovať kód na množine produkčných serverov. Pretože ide o rolu "DevOps", má povolenie iam:PassRole, aby mohla pripojiť správne roly k novým inštanciám EC2, ktoré spúšťa.
Útok:
- Útočník nájde zraniteľnosť v zásuvnom module tretej strany, ktorý používa CI/CD pipeline.
- Získa práva na vykonávanie v prostredí CI/CD.
- Zistí, že rola pipeline má
iam:PassRoleaec2:RunInstances. - Útočník vytvorí novú "tieňovú" inštanciu EC2. Priradí tejto novej inštancii
OrganizationAccountAccessRole(čo je rola plného administrátora). - Útočník sa pripojí cez SSH k novej inštancii, dotazuje sa na službu metadát a získa token administrátora.
- Výsledok: Úplné prevzatie účtu.
Ako Penetration Testing zastaví toto: Penetration Tester by len nevidel, že "rola CI/CD má PassRole" a nezaškrtol políčko. V skutočnosti by tento tok vykonal. Ukázal by bezpečnostnému tímu: "Pozrite, začal som v zásuvnom module tretej strany a skončil som ako váš Root Administrator za 15 minút."
Toto vytvorí pre organizáciu "aha moment". Zrazu iam:PassRole nie je len technický detail v pravidle – je to obrovská diera v ich zabezpečení.
Úloha Penetrify vo vašej bezpečnostnej stratégii
Správa cloudových povolení je nočná mora. Medzi tisíckami možných akcií v AWS/Azure/GCP a neustálymi zmenami vo vašej infraštruktúre je nemožné udržať všetko dokonalé. Potrebujete spôsob, ako otestovať svoju obranu bez toho, aby ste museli vybudovať rozsiahly interný "Red Team."
Tu prichádza na rad Penetrify.
Penetrify je cloudová platforma, ktorá premosťuje priepasť medzi "zaškrtnutím políčka pre súlad" a "skutočným zabezpečením." Namiesto toho, aby ste sa spoliehali na statický skener, ktorý vám poskytne 200-stranové PDF so "potenciálnymi" problémami, Penetrify poskytuje spôsob, ako identifikovať, posúdiť a napraviť skutočné zraniteľnosti prostredníctvom kombinácie automatizovaného a manuálneho testovania.
Prečo Penetrify funguje pre tento problém:
- Cloud-Native architektúra: Na testovanie nemusíte inštalovať ťažkopádny hardvér ani otvárať nebezpečné porty firewallu. Všetko je doručované prostredníctvom cloudu.
- Simulácia skutočných útokov: Penetrify nehľadá len nesprávne konfigurácie; simuluje, ako by sa útočník skutočne pohyboval vo vašom prostredí, aby eskaloval privilégiá.
- Škálovateľnosť: Či už máte jeden účet AWS alebo päťdesiat, platforma vám umožňuje škálovať testovanie naprieč viacerými prostrediami súčasne.
- Realizovateľná náprava: Nájdenie diery je len polovica bitky. Penetrify vám poskytuje usmernenie potrebné na skutočnú opravu pravidla IAM alebo vzťahu dôvery, aby diera zostala zatvorená.
- Neustále hodnotenie: Zabezpečenie nie je jednorazová udalosť. Keď nasadzujete nový kód a meníte svoju infraštruktúru, objavujú sa nové cesty eskalácie. Penetrify vám pomáha udržiavať neustále zabezpečenie.
Bežné chyby, ktoré spoločnosti robia pri boji proti eskalácii
Aj keď spoločnosti vedia o eskalácii privilégií, často implementujú "opravy", ktoré v skutočnosti nefungujú. Vyhnite sa týmto bežným úskaliam.
1. Spoliehanie sa len na MFA
Multi-Factor Authentication (MFA) je skvelá na zastavenie útočníka pred prihlásením do konzoly. Ale MFA nerobí nič na zastavenie eskalácie privilégií, keď je token relácie ukradnutý alebo je rola služby unesená. Ak útočník používa ukradnutý access_key a secret_key prostredníctvom CLI, nezobrazí sa mu výzva MFA.
2. Kultúra "Admin pre každého"
V mnohých rýchlo rastúcich startupoch má každý prístup administrátora, pretože "to jednoducho urýchľuje veci." Logika je: dôverujeme našim zamestnancom. Ale bezpečnosť nie je o dôvere; je to o obmedzení škôd, ktoré môže kompromitovaný účet spôsobiť. Ak váš vedúci vývojár podľahne phishingu a má prístup administrátora, útočník má prístup administrátora. Bodka.
3. Ignorovanie rolí "Iba na čítanie"
Mnoho tímov ignoruje účty s ReadOnlyAccess, pretože si myslia, že "nemôžu nič zmeniť". To je obrovská chyba. Prístup len na čítanie umožňuje útočníkovi zmapovať celú vašu sieť, nájsť tajomstvá uložené v premenných prostredia, objaviť ďalšie zraniteľné roly a identifikovať presnú cestu, ktorou sa musí vydať na eskaláciu. Prístup len na čítanie je prieskumná fáza útoku.
4. Oprava Symptómu, Nie Príčiny
Ak Penetration Tester nájde cestu eskalácie, neblokujte len jednu konkrétnu akciu. Pozrite sa na to, prečo tam to povolenie bolo. Ak mal používateľ príliš veľkú moc, zvyčajne je to preto, že váš proces vytvárania rolí je chybný. Opravte proces, nielen politiku.
Kontrolný zoznam pre vašu ďalšiu kontrolu cloudového zabezpečenia
Ak sa chystáte na bezpečnostný audit alebo plánujete Penetration Test, použite tento kontrolný zoznam na identifikáciu miest, kde sú vaše riziká eskalácie privilégií najvyššie.
Správa identít a prístupu (Identity & Access Management - IAM)
- Majú všetci ľudskí používatelia jedinečnú identitu (žiadne zdieľané účty)?
- Existujú používatelia s politikami
AdministratorAccessaleboFullAccess? - Auditovali ste všetky roly s
iam:PassRolealeboiam:CreatePolicyVersion? - Existujú nejakí "Tieňoví správcovia" (používatelia, ktorí môžu upravovať roly, ale nie sú správcami)?
- Je pre všetkých používateľov konzoly vynútené MFA?
Výpočtové a servisné roly
- Používajú vaše inštancie EC2/VM najviac obmedzené roly?
- Prešli ste na IMDSv2, aby ste zabránili krádeži tokenov na základe SSRF?
- Sú funkcie Lambda obmedzené len na konkrétne zdroje, ktoré potrebujú?
- Skontrolovali ste "prehnane privilegované" integrácie tretích strán (SaaS nástroje)?
Monitorovanie a viditeľnosť
- Máte upozornenia na vysoko rizikové volania IAM (napr.
CreateUser,AttachUserPolicy)? - Sú vaše cloudové auditné záznamy (CloudTrail, protokoly aktivít) uložené v samostatnom, nemennom účte?
- Kontrolujete údaje "Posledný prístup" na odstránenie nepoužívaných povolení?
- Dokáže vaše SOC detekovať horizontálny pohyb medzi účtami?
Často kladené otázky (FAQ)
Ako často by som mal vykonávať Penetration Testing pre eskaláciu cloudových privilégií?
Závisí to od vašej miery zmeny. Ak denne nasadzujete novú infraštruktúru alebo týždenne meníte svoje roly IAM, mali by ste vykonávať priebežné alebo mesačné hodnotenia. Minimálne by sa mal hĺbkový Penetration Test uskutočniť štvrťročne alebo po akejkoľvek významnej architektonickej zmene.
Nemôžem jednoducho použiť nástroj ako Prowler alebo ScoutSuite?
Sú to vynikajúce nástroje na auditovanie a hľadanie nesprávnych konfigurácií. Pamätajte však, že sú to skenery. Povedia vám, že dvere sú odomknuté. Penetration Test vám povie, že ak útočník prejde cez tieto dvere, môže nájsť kľúče od trezoru v susednej miestnosti. Potrebujete oboje: skenery pre dennú hygienu a Penetration Testing pre validáciu v reálnom svete.
Naruší Penetration Test moje produkčné prostredie?
Profesionálny Penetration Test, najmä ten, ktorý je spravovaný prostredníctvom platformy ako Penetrify, je navrhnutý tak, aby bol bezpečný. Testeri používajú kontrolované metódy na preukázanie existencie zraniteľnosti bez toho, aby spôsobili výpadky. Vždy je však najlepšie vykonávať najagresívnejšie testy v testovacom prostredí, ktoré zrkadlí produkciu.
Čo je to "blast radius" a prečo na ňom záleží?
Blast radius je celkové množstvo škôd, ktoré môže útočník spôsobiť, keď kompromituje jeden bod vo vašom systéme. Ak jedna kompromitovaná funkcia Lambda umožní útočníkovi vymazať celú vašu databázu, máte obrovský blast radius. Cieľom zastavenia eskalácie privilégií je zmenšiť tento blast radius čo najbližšie k nule.
Je eskalácia privilégií bežná v Azure a GCP, alebo len v AWS?
Je to univerzálne. Zatiaľ čo názvy povolení sa líšia (napr. "Role-Based Access Control" v Azure vs. "IAM" v AWS), základná logika je rovnaká. Nesprávne nakonfigurované roly, prehnane privilegované servisné účty a krádež tokenov sa dejú u všetkých hlavných poskytovateľov cloudu.
Akčné kroky: Kde začať dnes
Ak sa cítite zahltení zložitosťou cloudového IAM, nesnažte sa opraviť všetko naraz. Začnite s týmito tromi vysoko efektívnymi krokmi:
- Auditujte svoje povolenia "PassRole". Vyhľadajte vo svojich politikách IAM
iam:PassRolealebo podobné povolenia v Azure/GCP. Ak ich vidíte priradené používateľom, ktorí nie sú správcami, považujte to za vysoko prioritné riziko. - Povoľte IMDSv2. Ak ste na AWS, je to jeden z najrýchlejších spôsobov, ako zabrániť tomu, aby sa veľmi bežný vektor útoku (SSRF) zmenil na rozsiahle narušenie.
- Naplánujte si profesionálne hodnotenie. Prestaňte hádať, či sú vaše povolenia správne. Použite službu ako Penetrify, aby ste získali reálny pohľad na vaše bezpečnostné postavenie. Je oveľa lacnejšie zaplatiť za Penetration Test teraz, ako platiť za obnovu po ransomvérovom útoku neskôr.
Cloud ponúka neuveriteľnú agilitu, ale táto agilita má svoju cenu: zložitosť. Keď sa vaša vrstva identity stane príliš zložitou na pochopenie, stane sa ihriskom pre útočníkov. Proaktívnym hľadaním ciest eskalácie privilégií obrátite situáciu a prinútite útočníka, aby sa vysporiadal s posilneným prostredím, kde je každý krok monitorovaný a každé privilégium je zaslúžené.
Nečakajte na narušenie, aby ste zistili, kde sú vaše diery. Zabezpečte svoj cloud, obmedzte svoj blast radius a získajte profesionálny pohľad na svoju infraštruktúru ešte dnes.
Ste pripravení zistiť, či je váš cloud skutočne zabezpečený? Navštívte Penetrify a začnite identifikovať a opravovať riziká eskalácie privilégií skôr, ako ich nájde niekto iný.