ഉള്ളടക്കത്തിലേക്ക് പോകുക
Usher IdentityUsher Identity

സുരക്ഷ

ആതിഥ്യം പോലെ അനുഭവപ്പെടുന്ന സുരക്ഷ.

ഒരു ഐഡന്റിറ്റി പ്രൊവൈഡറിന്റെ മികവ് അതിന്റെ ടെനന്റുകൾക്കിടയിലെ മതിലുകളെയും സീക്രട്ടുകളോട് കാണിക്കുന്ന ശ്രദ്ധയെയും ആശ്രയിച്ചാണ്. Usher Identity എങ്ങനെ നിർമ്മിച്ചിരിക്കുന്നുവെന്ന് ഇതാ. സോഫ്റ്റ്‌വെയർ എന്ത് ചെയ്യുന്നുവെന്ന് ഞങ്ങൾ വിവരിക്കുന്നു; സർട്ടിഫിക്കേഷൻ അവകാശവാദങ്ങളൊന്നും ഉന്നയിക്കുന്നില്ല.

ആർക്കിടെക്ചർ

വേറിട്ട ഡൊമെയ്‌നുകൾ, വേറിട്ട നെറ്റ്‌വർക്കുകൾ.

Usher Identity-യുടെ സ്വന്തം പേജുകളും ഓരോ ഉപഭോക്താവിന്റെയും ഇഷ്യൂവറും വ്യത്യസ്ത രജിസ്റ്റർ ചെയ്യാവുന്ന ഡൊമെയ്‌നുകളിലാണ്. ഡാറ്റാബേസുകൾ ഇന്റർനെറ്റിൽ എത്താനാവാത്ത ഒരു നെറ്റ്‌വർക്കിലാണ്, പുറത്തേക്കുള്ള ഒരേയൊരു വഴി, എവിടേക്കാണ് പോകുന്നതെന്ന് പരിശോധിക്കുന്ന ഒരു പ്രോക്സിയാണ്.

  • Caddy എല്ലാ ഹോസ്റ്റുകൾക്കും TLS ടെർമിനേറ്റ് ചെയ്യുകയും, Usher Identity-യുടെ സ്വന്തം സേവനങ്ങൾക്ക് മാത്രം സജ്ജമാക്കാവുന്ന ഹെഡറുകൾ നീക്കം ചെയ്യുകയും ചെയ്യുന്നു.
  • ഓത്ത് ടിയർ എല്ലാ എൻവയോൺമെന്റുകൾക്കും വേണ്ടി മറുപടി നൽകുന്നു, ഹോസ്റ്റ് വഴി അവയെ വേർതിരിച്ചറിഞ്ഞ്; ഒരു ഹോസ്റ്റിനായി കാഷ് ചെയ്ത ഒന്നും മറ്റൊന്നിന് നൽകുന്നില്ല.
  • ഓരോ സേവനവും Valkey-യുമായി സ്വന്തം ഉപയോക്താവായി സംസാരിക്കുന്നു, സ്വന്തം കീകളിലേക്ക് മാത്രം പരിമിതപ്പെടുത്തി. ഡിഫോൾട്ട് ഉപയോക്താവില്ല.
  • ടോക്കണുകളും കോഡുകളും അടങ്ങിയ സ്റ്റേറ്റ്‌മെന്റുകൾ അവയുടെ മൂല്യങ്ങളോടെ ഒരിക്കലും ഡാറ്റാബേസ് ലോഗിൽ എഴുതുന്നില്ല.

ഇന്റർനെറ്റ്

ആളുകൾ, നിങ്ങളുടെ ആപ്പുകൾ, നിങ്ങളുടെ സെർവറുകൾ

എഡ്ജ്

Caddy: TLS, HSTS, ആന്തരിക ഹെഡറുകൾ നീക്കം ചെയ്യുന്നു

usheridentity.com

സൈറ്റും Console-ഉം

usheridentity.com, console.usheridentity.com

API

api.usheridentity.com

*.usherid.com

ഓത്ത് ടിയർ

എല്ലാ എൻവയോൺമെന്റിന്റെയും ഇഷ്യൂവറും ലോബിയും

ഡാറ്റാ നെറ്റ്‌വർക്ക് · പുറത്തേക്ക് വഴിയില്ല

Postgres

ഓരോ എൻവയോൺമെന്റിനും ഒരു സ്കീമ

Valkey

ഓരോ സേവനവും സ്വന്തം കീകളിലേക്ക് പരിമിതം

പുറത്തേക്കുള്ള ഒരേയൊരു വഴി

എഗ്രസ് പ്രോക്സി

ഉപഭോക്താവ് നൽകുന്ന എല്ലാ URL-കൾക്കും

ഡിസ്കവറി, JWKS, ലോഗൗട്ട്

പൊതു വിലാസങ്ങൾ മാത്രം

Usher Identity-യുടെ ടിയറുകൾ. ടെനന്റ് ഡൊമെയ്ൻ പ്ലാറ്റ്‌ഫോമിന്റേതിൽ നിന്ന് വ്യത്യസ്തമായ രജിസ്റ്റർ ചെയ്യാവുന്ന ഡൊമെയ്‌നാണ്, അതിനാൽ ഒരു ടെനന്റിന്റെ പേജുകൾ ഒരിക്കലും Console-മായി same-site ആകുന്നില്ല.

വേർതിരിവ്

പ്രധാനപ്പെട്ട ഒന്നും പങ്കിടുന്നില്ല.

ഓരോ പ്രോജക്റ്റ് എൻവയോൺമെന്റിനും സ്വന്തം Postgres സ്കീമയും സ്വന്തം സൈനിംഗ് കീകളും സ്വന്തം ഡാറ്റാ കീ ഉപയോഗിച്ച് സീൽ ചെയ്ത സ്വന്തം സീക്രട്ടുകളും ലഭിക്കുന്നു. അതിന്റെ ഇഷ്യൂവർ ടെനന്റ് ഡൊമെയ്‌നിലെ ഒരു ഹോസ്റ്റാണ്, കുക്കികൾ ഹോസ്റ്റിന് മാത്രമുള്ളവയാണ്, അതിനാൽ ഒരു എൻവയോൺമെന്റിന്റെ കുക്കി ബ്രൗസർ ഒരിക്കലും മറ്റൊന്നിലേക്ക് അയയ്ക്കില്ല.

usheridentity.com

സൈറ്റ്, Usher Identity Console, Usher Identity അക്കൗണ്ടുകൾ

*.usherid.com

ഓരോ എൻവയോൺമെന്റിനും ഒരു ഇഷ്യൂവർ, വേറിട്ട ഒരു ഡൊമെയ്‌നിൽ

എൻവയോൺമെന്റ്

ഉപയോക്താക്കളും സെഷനുകളും ടോക്കണുകളും ഈ എൻവയോൺമെന്റിനായി നിർമ്മിച്ച ഒരു സ്കീമയിലാണ്. ക്വറികൾ ആ സ്കീമയിലാണ് പ്രവർത്തിക്കുന്നത്, ടെനന്റ് കോളമുള്ള പങ്കിട്ട ടേബിളിൽ ഒരിക്കലുമല്ല.

Acme പ്രൊഡക്ഷന്റെ സീൽ ചെയ്ത Google ക്ലയന്റ് സീക്രട്ട് Northwind പ്രൊഡക്ഷനിലേക്ക് പകർത്തുക.

സംഭരണത്തിലെ എൻക്രിപ്ഷൻ

എൻവലപ്പ് എൻക്രിപ്ഷൻ, അതിന്റെ സ്ഥാനവുമായി ബന്ധിപ്പിച്ചത്.

നിങ്ങൾ Usher Identity-ക്ക് നൽകുന്ന സീക്രട്ടുകൾ, ഒരു എൻവയോൺമെന്റിന് സ്വന്തമായ ഡാറ്റാ കീക്ക് കീഴിൽ AES-256-GCM ഉപയോഗിച്ച് സീൽ ചെയ്യുന്നു. ഡാറ്റാ കീകൾ തന്നെ, ഡാറ്റാബേസിന് പുറത്ത് സൂക്ഷിക്കുന്ന, പതിപ്പുകളുള്ള ഒരു മാസ്റ്റർ കീ കൊണ്ട് പൊതിഞ്ഞിരിക്കുന്നു.

ഓരോ എൻവയോൺമെന്റിനും ഡാറ്റാ കീകൾ
ഒരു എൻവയോൺമെന്റിന്റെ ഡാറ്റാ കീ ചോർന്നാലും മറ്റൊന്നിനെക്കുറിച്ച് ഒന്നും വെളിപ്പെടില്ല.
AAD ബൈൻഡിംഗ്
എൻവയോൺമെന്റും ഉദ്ദേശ്യവും ഓരോ സൈഫർടെക്സ്റ്റിലും ബന്ധിപ്പിച്ചിരിക്കുന്നു, അതിനാൽ ഒരു മൂല്യം റോകൾക്കിടയിലോ ടെനന്റുകൾക്കിടയിലോ മാറ്റാനാവില്ല.
പതിപ്പുകളുള്ള കീകൾ
സീൽ ചെയ്ത ഓരോ മൂല്യവും അത് നിർമ്മിച്ച കീ പതിപ്പ് രേഖപ്പെടുത്തുന്നു, അതിനാൽ കീകൾ റൊട്ടേറ്റ് ചെയ്യാനും പഴയ മൂല്യങ്ങൾ വീണ്ടും പൊതിയാനും കഴിയും.
ഓതന്റിക്കേറ്റഡ്
GCM-ന്റെ ടാഗ് കാരണം, കൃത്രിമം കാണിച്ച ഒരു മൂല്യം മറ്റെന്തെങ്കിലുമായി ഡീക്രിപ്റ്റ് ആകുന്നതിന് പകരം തുറക്കാതെ പരാജയപ്പെടുന്നു.

  1. മാസ്റ്റർ കീ

    ഡാറ്റാബേസിന് പുറത്ത് സൂക്ഷിക്കുന്നത്, പതിപ്പുകളുള്ളത്

  2. ഡാറ്റാ കീ, ഓരോ എൻവയോൺമെന്റിനും ഒന്ന്

    മാസ്റ്റർ കീ കൊണ്ട് പൊതിഞ്ഞത്

  3. സീക്രട്ട്

    ഡാറ്റാ കീക്ക് കീഴിൽ AES-256-GCM ഉപയോഗിച്ച് സീൽ ചെയ്തത്

u1.<key version>.<iv>.<ciphertext + tag>

aad = u1 | version | environment | purpose

സീൽ ചെയ്ത ഒരു മൂല്യം അതിന്റെ ഓതന്റിക്കേറ്റഡ് ഡാറ്റയിൽ അതിന്റെ എൻവയോൺമെന്റും ഉദ്ദേശ്യവും രേഖപ്പെടുത്തുന്നു. മറ്റെവിടേക്കെങ്കിലും പകർത്തിയാൽ, അത് തുറക്കില്ല.

രീതികൾ

വിശദാംശങ്ങൾ, ശ്രദ്ധയോടെ ചെയ്തത്.

  • പാസ്‌വേഡുകൾ, നിങ്ങൾ ഉപയോഗിക്കുന്നുണ്ടെങ്കിൽ

    OWASP ശുപാർശ ചെയ്യുന്ന ചെലവിൽ (19 MiB, രണ്ട് പാസുകൾ) Argon2id ഉപയോഗിച്ച് ഹാഷ് ചെയ്യുന്നു; ഒരേസമയം എത്രയെണ്ണം പ്രവർത്തിക്കാമെന്നതിന് പരിധിയുണ്ട്, അതിനാൽ സൈൻ ഇന്നുകളുടെ പ്രളയത്തിന് സേവനം തകർക്കാനാവില്ല. പുതിയ പാസ്‌വേഡുകൾ Have I Been Pwned-ന്റെ റേഞ്ച് API വഴി അറിയപ്പെടുന്ന ചോർച്ചകളുമായി ഒത്തുനോക്കുന്നു; അത് പാസ്‌വേഡിന്റെ ഹാഷിന്റെ ഒരു ചെറിയ പ്രിഫിക്സ് മാത്രമേ കാണുന്നുള്ളൂ. ഡിഫോൾട്ടായി കുറഞ്ഞ നീളം 12 ആണ്.

  • റീപ്ലേ ചെയ്യാനാവുന്ന ഒന്നും സൂക്ഷിക്കുന്നില്ല

    ക്ലയന്റ് സീക്രട്ടുകൾ, ടോക്കണുകൾ, മാജിക് ലിങ്ക് ടോക്കണുകൾ, ഇമെയിൽ ചെയ്ത കോഡുകൾ എന്നിവ ഹാഷ് ചെയ്താണ് സൂക്ഷിക്കുന്നത്. ബാക്കപ്പ് കോഡുകൾ എൻക്രിപ്റ്റ് ചെയ്തിരിക്കുന്നു. ഒരു ഓതറൈസേഷൻ കോഡ് അഞ്ച് മിനിറ്റ് നിലനിൽക്കും; ഇമെയിൽ ചെയ്ത കോഡിന് മൂന്ന് ശ്രമങ്ങൾ അനുവദിക്കും.

  • എല്ലാ വാതിലിലും റേറ്റ് ലിമിറ്റുകൾ

    സൈൻ ഇൻ, സൈൻ അപ്പ്, ഇമെയിൽ ചെയ്ത കോഡുകൾ, മാജിക് ലിങ്കുകൾ, പാസ്‌വേഡ് റീസെറ്റുകൾ, രണ്ടാം ഘടക പരിശോധനകൾ എന്നിവയ്ക്ക് ഓരോന്നിനും സ്വന്തം പരിധിയുണ്ട്: ഉദാഹരണത്തിന്, മിനിറ്റിൽ പത്ത് പാസ്‌വേഡ് സൈൻ ഇന്നുകൾ, പത്ത് മിനിറ്റിൽ അഞ്ച് ഇമെയിൽ കോഡുകൾ.

  • കർശനമായ Content-Security-Policy

    ഓരോ ലോബി പേജിനും പുതിയൊരു nonce-ഉം അതിനെ ചുറ്റിപ്പറ്റി നിർമ്മിച്ച ഒരു പോളിസിയും ലഭിക്കുന്നു: nonce ഉള്ള, ഈ ഒറിജിനിലെ സ്ക്രിപ്റ്റുകൾ മാത്രം പ്രവർത്തിക്കും, ഫോമുകൾ അതേ ഒറിജിനിലേക്ക് മാത്രം പോസ്റ്റ് ചെയ്യും, മറ്റ് സൈറ്റുകൾക്ക് പേജ് ഫ്രെയിം ചെയ്യാനാവില്ല.

  • വിശ്വസിക്കാവുന്ന ഓഡിറ്റ് ലോഗ്

    വർക്ക്‌സ്‌പെയ്‌സുകൾ, പ്രോജക്റ്റുകൾ, എൻവയോൺമെന്റുകൾ എന്നിവയിലെ മാറ്റങ്ങൾ കൂട്ടിച്ചേർക്കാൻ മാത്രം കഴിയുന്ന ഒരു ലോഗിൽ എഴുതുന്നു, ഓരോ എൻട്രിയും മുമ്പത്തേതുമായി ഹാഷ്-ചെയിൻ ചെയ്ത്, അതിനാൽ തിരുത്തിയതോ കാണാതായതോ ആയ ഒരു എൻട്രി വെളിപ്പെടും.

  • ഉപഭോക്തൃ URL-കൾക്കായി ഒരു എഗ്രസ് പ്രോക്സി

    ഒരു ഉപഭോക്താവ് നൽകിയ വിലാസത്തിലേക്ക് Usher Identity നടത്തുന്ന ഓരോ അഭ്യർത്ഥനയും (OIDC ഡിസ്കവറി, JWKS, ബാക്ക്-ചാനൽ ലോഗൗട്ട്) ഒരു പ്രോക്സിയിലൂടെയാണ് പുറത്തുപോകുന്നത്. അത് പേര് ഒരിക്കൽ റിസോൾവ് ചെയ്യുന്നു, പ്രൈവറ്റ്, ലൂപ്പ്‌ബാക്ക്, ലിങ്ക്-ലോക്കൽ, ക്ലൗഡ്-മെറ്റാഡാറ്റ വിലാസങ്ങൾ നിരസിക്കുന്നു, പരിശോധിച്ച വിലാസത്തിലേക്ക് തന്നെ കണക്ട് ചെയ്യുന്നു, അതിനാൽ DNS റീബൈൻഡിംഗിന് ഒരു ഉപഭോക്തൃ URL-നെ ആന്തരികമായ ഒന്നാക്കി മാറ്റാനാവില്ല.

  • ഒരിക്കലും രണ്ടുതവണ നൽകാത്ത ഹാൻഡിലുകൾ

    ഒരു പ്രൊഡക്ഷൻ എൻവയോൺമെന്റിന്റെ ഹാൻഡിൽ അതിന്റെ ഇഷ്യൂവറിന്റെ ആദ്യ ലേബലാണ്. Console ക്ഷണം വഴി മാത്രം തുറന്നതാണ്, ഫിഷിംഗിനായി റിപ്പോർട്ട് ചെയ്യപ്പെട്ട ലോബി സസ്പെൻഡ് ചെയ്യും, ഒരിക്കൽ ഉപയോഗിച്ച ഹാൻഡിൽ ഒരിക്കലും വീണ്ടും നൽകില്ല, കാരണം പഴയ ആപ്പുകൾ ഇപ്പോഴും അതിന്റെ ടോക്കണുകളെ വിശ്വസിച്ചേക്കാം.

  • നിങ്ങൾ പറയുമ്പോൾ അവസാനിക്കുന്ന സെഷനുകൾ

    കാഷ് ചെയ്ത ഒരു പകർപ്പിനെ വിശ്വസിക്കുന്നതിന് പകരം Usher Identity ഓരോ അഭ്യർത്ഥനയിലും സ്വന്തം സെഷനുകൾ പരിശോധിക്കുന്നു, അതിനാൽ നിങ്ങൾ അവസാനിപ്പിക്കുന്ന സെഷൻ ഉടൻ തീരും. ആക്സസ് ടോക്കണുകൾക്ക് ആയുസ്സ് കുറവാണ് (ഡിഫോൾട്ടായി പത്ത് മിനിറ്റ്), നിങ്ങളുടെ API-ക്ക് അവ ഇൻട്രോസ്പെക്റ്റ് ചെയ്യാം.

ഉത്തരവാദിത്തപൂർണ്ണമായ വെളിപ്പെടുത്തൽ

എന്തെങ്കിലും കണ്ടെത്തിയോ? ആദ്യം ഞങ്ങളോട് പറയുക.

Usher Identity-യിൽ ഒരു സുരക്ഷാ പ്രശ്നം കണ്ടെത്തിയെന്ന് നിങ്ങൾ കരുതുന്നുവെങ്കിൽ, അതിനെക്കുറിച്ച് കേൾക്കാൻ ഞങ്ങൾ ആഗ്രഹിക്കുന്നു, അത് പരിഹരിക്കാൻ നിങ്ങളോടൊപ്പം പ്രവർത്തിക്കും.

security@usheridentity.com
  • നിങ്ങൾ എന്ത് കണ്ടെത്തി, എവിടെ, അത് എങ്ങനെ ആവർത്തിക്കാം.
  • നിങ്ങൾ മനസ്സിലാക്കുന്നതനുസരിച്ച്, അത് ഉപയോഗിച്ച് ഒരാൾക്ക് എന്ത് ചെയ്യാനാകും.
  • ഞങ്ങൾക്ക് നിങ്ങളെ എങ്ങനെ ബന്ധപ്പെടാം, നിങ്ങൾക്ക് ക്രെഡിറ്റ് വേണോ എന്നും.

ദയവായി നിങ്ങൾക്ക് സ്വന്തമായ എൻവയോൺമെന്റുകളിൽ മാത്രം പരീക്ഷിക്കുക, മറ്റുള്ളവരുടെ ഡാറ്റ ആക്സസ് ചെയ്യരുത്, പങ്കിടുന്നതിന് മുമ്പ് പ്രശ്നം പരിഹരിക്കാൻ ഞങ്ങൾക്ക് ന്യായമായ സമയം നൽകുക. Usher Identity സൈൻ ഇൻ ആണെന്ന് നടിക്കുന്ന ഒരു പേജ് റിപ്പോർട്ട് ചെയ്യാൻ, ദുരുപയോഗം റിപ്പോർട്ട് ചെയ്യുക കാണുക.