Қауіпсіздік
Қонақжайлылықтай сезілетін қауіпсіздік.
Сәйкестендіру провайдерінің сапасы оның тенанттары арасындағы қабырғалардың беріктігіне және құпияларға қаншалықты мұқият қарайтынына байланысты. Usher Identity былай жасалған. Біз бағдарламалық жасақтаманың не істейтінін сипаттаймыз; ешқандай сертификаттау туралы мәлімдеме жасамаймыз.
Архитектура
Бөлек домендер, бөлек желілер.
Usher Identity-дің өз беттері мен әр тұтынушының эмитенті әртүрлі тіркелетін домендерде орналасқан. Дерекқорлар интернетке шыға алмайтын желіде тұр, ал сыртқа жалғыз жол — қайда баратынын тексеретін прокси.
- Caddy әр хост үшін TLS-ті аяқтайды және тек Usher Identity-дің өз қызметтері орната алатын тақырыптарды алып тастайды.
- Аутентификация деңгейі әр ортаға жауап береді, оларды хост бойынша ажыратады; бір хост үшін кэштелген ештеңе басқасына берілмейді.
- Әр қызмет Valkey-ге өзінің жеке пайдаланушысы ретінде қосылады және тек өз кілттерімен шектеледі. Әдепкі пайдаланушы жоқ.
- Токендер мен кодтар бар сұраулар дерекқор журналына ешқашан олардың мәндерімен жазылмайды.
Интернет
Адамдар, қолданбаларыңыз, серверлеріңіз
Шеткі сервер
Caddy: TLS, HSTS, ішкі тақырыптарды алып тастайды
usheridentity.com
Сайт және Console
usheridentity.com, console.usheridentity.com
API
api.usheridentity.com
*.usherid.com
Аутентификация деңгейі
Әр ортаның эмитенті мен Lobby беті
Деректер желісі · сыртқа жол жоқ
Postgres
Әр ортаға бір схема
Valkey
Әр қызмет өз кілттерімен шектелген
Сыртқа жалғыз жол
Шығыс прокси
Тұтынушы берген әр URL үшін
Discovery, JWKS, шығу
Тек жария мекенжайлар
Оқшаулау
Маңызды ештеңе ортақ емес.
Әр жоба ортасы өз Postgres схемасын, өз қолтаңба кілттерін және өз деректер кілтімен мөрленген өз құпияларын алады. Оның эмитенті — тенанттар доменіндегі хост, ал cookie файлдары тек сол хостқа арналған, сондықтан браузер бір ортаның cookie файлын ешқашан басқасына жібермейді.
usheridentity.com
Сайт, Usher Identity Console, Usher Identity аккаунттары
*.usherid.com
Әр ортаға бір эмитент, бөлек доменде
Пайдаланушылар, сеанстар және токендер осы ортаға арнап жасалған схемада сақталады. Сұраулар сол схемада орындалады, ешқашан тенант бағаны бар ортақ кестеде емес.
Acme өндірістік ортасының мөрленген Google клиент құпиясын Northwind өндірістік ортасына көшіру.
Сақталған деректерді шифрлау
Өз орнына байланған конверттік шифрлау.
Usher Identity-ге беретін құпияларыңыз бір ортаға тиесілі деректер кілтімен AES-256-GCM арқылы мөрленеді. Деректер кілттерінің өзі дерекқордан тыс сақталатын, нұсқалары бар негізгі кілтпен оралған.
- Әр ортаның деректер кілттері
- Бір ортаның деректер кілті ашылып қалса да, басқа ортаныкі туралы ештеңе білінбейді.
- AAD байланысы
- Орта мен мақсат әр шифрмәтінге байланыстырылады, сондықтан мәнді жолдар немесе тенанттар арасында жылжыту мүмкін емес.
- Нұсқалары бар кілттер
- Әр мөрленген мән өзі жасалған кілт нұсқасын жазып қояды, сондықтан кілттерді ауыстырып, ескі мәндерді қайта орауға болады.
- Аутентификацияланған
- GCM тегінің арқасында өзгертілген мән басқа нәрсеге шифрдан шығарылмайды, жай ғана ашылмайды.
Негізгі кілт
Дерекқордан тыс сақталады, нұсқалары бар
Деректер кілті, әр ортаға біреу
Негізгі кілтпен оралған
Құпия
Деректер кілтімен AES-256-GCM арқылы мөрленген
u1.<key version>.<iv>.<ciphertext + tag>
aad = u1 | version | environment | purpose
Тәжірибелер
Мұқият жасалған егжей-тегжейлер.
Құпиясөздер, егер пайдалансаңыз
OWASP ұсынған күрделілікпен (19 MiB, екі өту) Argon2id арқылы хэштеледі, бір уақытта қаншасы орындалатыны шектеледі, сондықтан кіру әрекеттерінің толқыны қызметті тоқтата алмайды. Жаңа құпиясөздер белгілі деректер жылыстауларына қарсы Have I Been Pwned диапазон API-ы арқылы тексеріледі, ол құпиясөз хэшінің тек қысқа префиксін көреді. Әдепкі ең аз ұзындық — 12.
Қайта пайдалануға болатын ештеңе сақталмайды
Клиент құпиялары, токендер, сиқырлы сілтеме токендері және электрондық поштаға жіберілетін кодтар хэштеліп сақталады. Резервтік кодтар шифрланады. Авторизация коды бес минут жарамды; электрондық поштаға келген кодты үш рет енгізуге болады.
Әр есікте сұрау шектеулері
Кіру, тіркелу, электрондық поштаға жіберілетін кодтар, сиқырлы сілтемелер, құпиясөзді қалпына келтіру және екінші факторды тексерудің әрқайсысының өз шегі бар: мысалы, минутына құпиясөзбен он кіру және он минутта электрондық поштаға бес код.
Қатаң Content-Security-Policy
Әр Lobby беті жаңа nonce мәнін және соның айналасында құрылған саясатты алады: тек осы бастаудың nonce мәні бар скрипттері іске қосылады, формалар тек сол бастауға жіберіледі, ал басқа сайттар бетті фреймге сала алмайды.
Сенуге болатын аудит журналы
Жұмыс кеңістіктеріне, жобаларға және орталарға енгізілген өзгерістер тек толықтырылатын журналға жазылады, әр жазба алдыңғысымен хэш-тізбек арқылы байланысады, сондықтан өзгертілген немесе жоғалған жазба бірден көрінеді.
Тұтынушы URL-дары үшін шығыс прокси
Usher Identity тұтынушы берген мекенжайға жіберетін әр сұрау (OIDC discovery, JWKS, back-channel шығу) бір прокси арқылы шығады. Ол атауды бір рет шешеді, жеке, loopback, link-local және бұлттық метадеректер мекенжайларынан бас тартады және өзі тексерген мекенжайға қосылады, сондықтан DNS rebinding тұтынушы URL-ын ішкі мекенжайға айналдыра алмайды.
Ешқашан екі рет берілмейтін идентификаторлар
Өндірістік ортаның идентификаторы — оның эмитент мекенжайының бірінші бөлігі. Console тек шақыру арқылы ашылады, фишинг туралы хабарланған Lobby тоқтатылады, ал бір рет пайдаланылған идентификатор ешқашан қайта берілмейді, өйткені ескі қолданбалар оның токендеріне әлі де сенуі мүмкін.
Сіз айтқанда аяқталатын сеанстар
Usher Identity кэштегі көшірмеге сенудің орнына өз сеанстарын әр сұрауда тексереді, сондықтан сіз аяқтаған сеанс бірден тоқтайды. Қатынас токендері қысқа мерзімді (әдепкі бойынша он минут), ал API-ыңыз оларды тексере алады.
Осалдықтарды жауапты түрде ашу
Бірдеңе таптыңыз ба? Алдымен бізге айтыңыз.
Usher Identity-ден қауіпсіздік мәселесін таптым деп ойласаңыз, ол туралы естігіміз келеді және оны түзету үшін сізбен бірге жұмыс істейміз.
- Не тапқаныңыз, қай жерде және оны қалай қайталауға болатыны.
- Сіздің түсінігіңізше, біреу онымен не істей алатыны.
- Сізбен қалай байланыса алатынымыз және есіміңіздің аталғанын қалайтыныңыз.
Тек өзіңізге тиесілі орталарды тексеріңіз, басқа адамдардың деректеріне қол жеткізбеңіз және мәселе туралы бөліспес бұрын оны түзетуге бізге орынды уақыт беріңіз. Usher Identity кіру беті болып көрінетін бет туралы хабарлау үшін Теріс пайдалану туралы хабарлау бетін қараңыз.