सुरक्षा
आदरातिथ्यासारखी वाटणारी सुरक्षा.
आयडेंटिटी प्रोव्हायडर त्याच्या टेनंटमधील भिंतींइतका आणि तो सिक्रेटची जितकी काळजी घेतो तितकाच चांगला असतो. Usher Identity कसे बनवले आहे ते इथे आहे. सॉफ्टवेअर काय करते ते आम्ही सांगतो; प्रमाणपत्राचा कोणताही दावा करत नाही.
आर्किटेक्चर
वेगळे डोमेन, वेगळे नेटवर्क.
Usher Identity ची स्वतःची पेजेस आणि प्रत्येक ग्राहकाचा इश्युअर वेगवेगळ्या नोंदणीयोग्य डोमेनवर असतात. डेटाबेस अशा नेटवर्कवर असतात जे इंटरनेटपर्यंत पोहोचू शकत नाही, आणि बाहेर जाण्याचा एकमेव मार्ग म्हणजे एक प्रॉक्सी, जो ते कुठे जात आहे ते तपासतो.
- Caddy प्रत्येक होस्टसाठी TLS हाताळते आणि फक्त Usher Identity च्या स्वतःच्या सेवा सेट करू शकतात असे हेडर काढून टाकते.
- ऑथ टियर प्रत्येक एन्व्हायर्नमेंटसाठी उत्तर देतो, होस्टवरून त्यांना ओळखून; एका होस्टसाठी कॅश केलेले काहीही दुसऱ्याला दिले जात नाही.
- प्रत्येक सेवा Valkey शी स्वतःचा वापरकर्ता म्हणून बोलते, फक्त स्वतःच्या की पुरती मर्यादित. डीफॉल्ट वापरकर्ता नाही.
- टोकन आणि कोड असलेली स्टेटमेंट त्यांच्या मूल्यांसह डेटाबेस लॉगमध्ये कधीही लिहिली जात नाहीत.
इंटरनेट
लोक, तुमची ॲप्स, तुमचे सर्व्हर
एज
Caddy: TLS, HSTS, अंतर्गत हेडर काढून टाकते
usheridentity.com
साइट आणि Console
usheridentity.com, console.usheridentity.com
API
api.usheridentity.com
*.usherid.com
ऑथ टियर
प्रत्येक एन्व्हायर्नमेंटचा इश्युअर आणि लॉबी
डेटा नेटवर्क · बाहेर जाण्याचा मार्ग नाही
Postgres
प्रत्येक एन्व्हायर्नमेंटसाठी एक स्कीमा
Valkey
प्रत्येक सेवा स्वतःच्या की पुरती मर्यादित
बाहेर जाण्याचा एकमेव मार्ग
इग्रेस प्रॉक्सी
ग्राहकाने दिलेल्या प्रत्येक URL साठी
डिस्कव्हरी, JWKS, लॉगआउट
फक्त सार्वजनिक पत्ते
वेगळेपण
महत्त्वाचे असे काहीही शेअर केलेले नाही.
प्रत्येक प्रोजेक्ट एन्व्हायर्नमेंटला स्वतःचा Postgres स्कीमा, स्वतःच्या साइनिंग की आणि स्वतःच्या डेटा की ने सील केलेले स्वतःचे सिक्रेट मिळतात. त्याचा इश्युअर टेनंट डोमेनवरील एक होस्ट असतो, आणि त्याच्या कुकी होस्ट-ओन्ली असतात, त्यामुळे ब्राउझर एका एन्व्हायर्नमेंटची कुकी दुसऱ्याला कधीही पाठवत नाही.
usheridentity.com
साइट, Usher Identity Console, Usher Identity खाती
*.usherid.com
प्रत्येक एन्व्हायर्नमेंटसाठी एक इश्युअर, वेगळ्या डोमेनवर
वापरकर्ते, सेशन आणि टोकन या एन्व्हायर्नमेंटसाठी बनवलेल्या स्कीमामध्ये असतात. क्वेरी त्याच स्कीमावर चालतात, टेनंट कॉलम असलेल्या शेअर केलेल्या टेबलवर कधीही नाही.
Acme प्रोडक्शन चे सील केलेले Google क्लायंट सिक्रेट Northwind प्रोडक्शन मध्ये कॉपी करा.
साठवलेल्या डेटाचे एन्क्रिप्शन
एन्व्हलप एन्क्रिप्शन, त्याच्या जागेशी बांधलेले.
तुम्ही Usher Identity ला देत असलेले सिक्रेट एका एन्व्हायर्नमेंटच्या डेटा की खाली AES-256-GCM ने सील केले जातात. डेटा की स्वतः डेटाबेसबाहेर ठेवलेल्या, आवृत्ती असलेल्या मास्टर की ने गुंडाळलेल्या असतात.
- प्रत्येक एन्व्हायर्नमेंटसाठी डेटा की
- एका एन्व्हायर्नमेंटची डेटा की उघड झाली तरी दुसऱ्याबद्दल काहीही कळत नाही.
- AAD बंधन
- एन्व्हायर्नमेंट आणि उद्देश प्रत्येक सायफरटेक्स्टमध्ये बांधलेले असतात, त्यामुळे मूल्य रो किंवा टेनंटमध्ये हलवता येत नाही.
- आवृत्ती असलेल्या की
- प्रत्येक सील केलेले मूल्य ते ज्या की आवृत्तीने बनवले ती नोंदवते, त्यामुळे की रोटेट करता येतात आणि जुनी मूल्ये पुन्हा गुंडाळता येतात.
- ऑथेंटिकेटेड
- GCM च्या टॅगमुळे छेडछाड केलेले मूल्य वेगळ्याच गोष्टीत डिक्रिप्ट होण्याऐवजी उघडतच नाही.
मास्टर की
डेटाबेसबाहेर ठेवलेली, आवृत्तीसह
डेटा की, प्रत्येक एन्व्हायर्नमेंटसाठी एक
मास्टर की ने गुंडाळलेली
सिक्रेट
डेटा की खाली AES-256-GCM ने सील केलेले
u1.<key version>.<iv>.<ciphertext + tag>
aad = u1 | version | environment | purpose
पद्धती
तपशील, काळजीपूर्वक केलेले.
पासवर्ड, तुम्ही वापरत असल्यास
OWASP ने शिफारस केलेल्या खर्चावर (19 MiB, दोन पास) Argon2id ने हॅश केलेले, आणि एकाच वेळी किती चालू शकतात यावर मर्यादा, जेणेकरून साइन-इनच्या लोंढ्याने सेवा बंद पडू नये. नवीन पासवर्ड Have I Been Pwned च्या रेंज API द्वारे ज्ञात डेटा भंगांशी तपासले जातात, ज्याला पासवर्डच्या हॅशचा फक्त एक छोटा उपसर्ग दिसतो. किमान लांबी डीफॉल्टनुसार 12 आहे.
पुन्हा वापरता येईल असे काहीही साठवलेले नाही
क्लायंट सिक्रेट, टोकन, मॅजिक-लिंक टोकन आणि ईमेलने पाठवलेले कोड हॅश करून साठवले जातात. बॅकअप कोड एन्क्रिप्ट केलेले असतात. ऑथरायझेशन कोड पाच मिनिटे टिकतो; ईमेलने पाठवलेल्या कोडसाठी तीन प्रयत्न मिळतात.
प्रत्येक दारावर रेट लिमिट
साइन-इन, साइन-अप, ईमेलने पाठवलेले कोड, मॅजिक लिंक, पासवर्ड रीसेट आणि दुसऱ्या फॅक्टरच्या तपासण्या, प्रत्येकाची स्वतःची मर्यादा असते: उदाहरणार्थ, मिनिटाला दहा पासवर्ड साइन-इन, आणि दर दहा मिनिटांना पाच ईमेल कोड.
कडक Content-Security-Policy
प्रत्येक लॉबी पेजला नवीन nonce आणि त्याभोवती बनवलेली पॉलिसी मिळते: फक्त याच origin च्या, nonce असलेल्या स्क्रिप्ट चालतात, फॉर्म फक्त त्याच origin ला पोस्ट होतात, आणि इतर साइट पेज फ्रेममध्ये घालू शकत नाहीत.
विश्वास ठेवता येईल असा ऑडिट लॉग
वर्कस्पेस, प्रोजेक्ट आणि एन्व्हायर्नमेंटमधील बदल फक्त जोडता येणाऱ्या लॉगमध्ये लिहिले जातात, प्रत्येक नोंद आधीच्या नोंदीशी हॅश-चेनने जोडलेली, त्यामुळे बदललेली किंवा गहाळ नोंद लगेच दिसते.
ग्राहकांच्या URL साठी इग्रेस प्रॉक्सी
ग्राहकाने दिलेल्या पत्त्यावर Usher Identity करत असलेली प्रत्येक विनंती (OIDC डिस्कव्हरी, JWKS, बॅक-चॅनेल लॉगआउट) एकाच प्रॉक्सीमधून बाहेर जाते. तो नाव एकदाच रिझॉल्व्ह करतो, खाजगी, loopback, link-local आणि क्लाउड-मेटाडेटा पत्ते नाकारतो, आणि त्याने तपासलेल्या पत्त्यावरच कनेक्ट होतो, त्यामुळे DNS rebinding ग्राहकाच्या URL ला अंतर्गत URL मध्ये बदलू शकत नाही.
कधीही दोनदा न दिले जाणारे हँडल
प्रोडक्शन एन्व्हायर्नमेंटचे हँडल हे त्याच्या इश्युअरचे पहिले लेबल असते. Console फक्त आमंत्रणाने उपलब्ध आहे, फिशिंगसाठी तक्रार आलेली लॉबी निलंबित केली जाते, आणि एकदा वापरलेले हँडल पुन्हा कधीही दिले जात नाही, कारण जुनी ॲप्स अजूनही त्याच्या टोकनवर विश्वास ठेवत असू शकतात.
तुम्ही सांगाल तेव्हा संपणारी सेशन
Usher Identity कॅश केलेल्या प्रतीवर विश्वास ठेवण्याऐवजी प्रत्येक विनंतीवर स्वतःची सेशन तपासते, त्यामुळे तुम्ही संपवलेले सेशन लगेच संपते. ॲक्सेस टोकन अल्पकालीन असतात (डीफॉल्टनुसार दहा मिनिटे), आणि तुमचे API त्यांचे इंट्रोस्पेक्शन करू शकते.
जबाबदार प्रकटीकरण
काही आढळले? आधी आम्हाला सांगा.
Usher Identity मध्ये सुरक्षेची समस्या आढळली असे वाटत असल्यास, आम्हाला त्याबद्दल ऐकायला आवडेल, आणि ती दुरुस्त करण्यासाठी आम्ही तुमच्यासोबत काम करू.
- तुम्हाला काय आढळले, कुठे, आणि ते पुन्हा कसे घडवायचे.
- तुमच्या समजुतीनुसार, कोणी त्याचा कसा वापर करू शकेल.
- आम्ही तुमच्याशी कसा संपर्क साधू शकतो, आणि तुम्हाला श्रेय हवे आहे का.
कृपया फक्त तुमच्या मालकीच्या एन्व्हायर्नमेंटवरच चाचणी करा, इतर लोकांच्या डेटामध्ये प्रवेश करू नका, आणि समस्या शेअर करण्यापूर्वी ती दुरुस्त करण्यासाठी आम्हाला वाजवी वेळ द्या. Usher Identity साइन-इन असल्याचे भासवणाऱ्या पेजची तक्रार करण्यासाठी, गैरवापराची तक्रार करा पाहा.