உள்ளடக்கத்துக்குச் செல்
Usher IdentityUsher Identity

பாதுகாப்பு

விருந்தோம்பல் போல் உணரும் பாதுகாப்பு.

ஒரு அடையாள வழங்குநர், அதன் டெனன்ட்களுக்கு இடையிலான சுவர்களும் ரகசியங்களை அது கையாளும் கவனமும் எவ்வளவு நல்லதோ அவ்வளவுதான் நல்லது. Usher Identity எப்படிக் கட்டமைக்கப்பட்டுள்ளது என்பது இங்கே. மென்பொருள் என்ன செய்கிறது என்பதை விவரிக்கிறோம்; எந்தச் சான்றிதழையும் நாங்கள் கோரவில்லை.

கட்டமைப்பு

தனி டொமைன்கள், தனி நெட்வொர்க்குகள்.

Usher Identity-இன் சொந்தப் பக்கங்களும் ஒவ்வொரு வாடிக்கையாளரின் இஷ்யூவரும் வெவ்வேறு பதிவுசெய்யக்கூடிய டொமைன்களில் உள்ளன. தரவுத்தளங்கள் இணையத்தை அடைய முடியாத ஒரு நெட்வொர்க்கில் உள்ளன, வெளியே செல்லும் ஒரே வழி, அது எங்கே செல்கிறது என்பதைச் சரிபார்க்கும் ஒரு ப்ராக்ஸி.

  • ஒவ்வொரு ஹோஸ்ட்டுக்கும் Caddy TLS-ஐ முடித்துவைக்கிறது, Usher Identity-இன் சொந்தச் சேவைகள் மட்டுமே அமைக்கக்கூடிய ஹெடர்களை நீக்குகிறது.
  • அங்கீகார அடுக்கு ஒவ்வொரு சூழலுக்கும் பதிலளிக்கிறது, அவற்றை ஹோஸ்ட் மூலம் வேறுபடுத்துகிறது; ஒரு ஹோஸ்ட்டுக்காக கேஷ் செய்யப்பட்ட எதுவும் இன்னொன்றுக்கு வழங்கப்படுவதில்லை.
  • ஒவ்வொரு சேவையும் தனக்கே உரிய பயனராக, தனது சொந்த விசைகளுக்கு மட்டும் வரம்பிடப்பட்டு Valkey உடன் பேசுகிறது. இயல்புநிலைப் பயனர் இல்லை.
  • டோக்கன்களும் குறியீடுகளும் கொண்ட கூற்றுகள் அவற்றின் மதிப்புகளுடன் தரவுத்தளப் பதிவில் ஒருபோதும் எழுதப்படுவதில்லை.

இணையம்

மக்கள், உங்கள் ஆப்ஸ், உங்கள் சர்வர்கள்

எட்ஜ்

Caddy: TLS, HSTS, உள் ஹெடர்களை நீக்குகிறது

usheridentity.com

இணையதளம், Console

usheridentity.com, console.usheridentity.com

API

api.usheridentity.com

*.usherid.com

அங்கீகார அடுக்கு

ஒவ்வொரு சூழலின் இஷ்யூவரும் லாபியும்

தரவு நெட்வொர்க் · வெளியே வழி இல்லை

Postgres

ஒவ்வொரு சூழலுக்கும் ஒரு ஸ்கீமா

Valkey

ஒவ்வொரு சேவையும் தனது சொந்த விசைகளுக்கு மட்டும்

வெளியே செல்லும் ஒரே வழி

எக்ரெஸ் ப்ராக்ஸி

வாடிக்கையாளர் தரும் ஒவ்வொரு URL-க்கும்

டிஸ்கவரி, JWKS, வெளியேறுதல்

பொது முகவரிகள் மட்டும்

Usher Identity-இன் அடுக்குகள். டெனன்ட் டொமைன், தளத்தின் டொமைனிலிருந்து வேறுபட்ட பதிவுசெய்யக்கூடிய டொமைன், எனவே ஒரு டெனன்ட்டின் பக்கங்கள் Console உடன் ஒருபோதும் same-site ஆக இருக்காது.

தனிமைப்படுத்தல்

முக்கியமான எதுவும் பகிரப்படுவதில்லை.

ஒவ்வொரு திட்டப்பணிச் சூழலுக்கும் அதற்கே உரிய Postgres ஸ்கீமா, கையொப்ப விசைகள், அதன் சொந்தத் தரவு விசையால் முத்திரையிட்ட ரகசியங்கள் கிடைக்கின்றன. அதன் இஷ்யூவர் டெனன்ட் டொமைனில் உள்ள ஒரு ஹோஸ்ட், அதன் குக்கீகள் ஹோஸ்ட்-மட்டும், எனவே ஒரு சூழலின் குக்கீயை பிரவுசர் இன்னொன்றுக்கு ஒருபோதும் அனுப்பாது.

usheridentity.com

இணையதளம், Usher Identity Console, Usher Identity கணக்குகள்

*.usherid.com

ஒவ்வொரு சூழலுக்கும் ஒரு இஷ்யூவர், தனி டொமைனில்

சூழல்

பயனர்கள், அமர்வுகள், டோக்கன்கள் இந்தச் சூழலுக்காக உருவாக்கப்பட்ட ஸ்கீமாவில் இருக்கின்றன. வினவல்கள் அந்த ஸ்கீமாவில் இயங்குகின்றன, டெனன்ட் நெடுவரிசை கொண்ட பகிரப்பட்ட அட்டவணையில் ஒருபோதும் அல்ல.

Acme புரொடக்ஷன் சூழலின் முத்திரையிட்ட Google கிளையன்ட் ரகசியத்தை Northwind புரொடக்ஷன் சூழலுக்கு நகலெடு.

சேமிப்பில் மறையாக்கம்

என்வலப் மறையாக்கம், அதன் இடத்துடன் பிணைக்கப்பட்டது.

நீங்கள் Usher Identity-க்குத் தரும் ரகசியங்கள், ஒரு சூழலுக்கு உரிய தரவு விசையின் கீழ் AES-256-GCM மூலம் முத்திரையிடப்படுகின்றன. தரவு விசைகளே, தரவுத்தளத்துக்கு வெளியே வைக்கப்பட்ட, பதிப்பிடப்பட்ட முதன்மை விசையால் பொதியப்படுகின்றன.

ஒவ்வொரு சூழலுக்கும் தனித் தரவு விசைகள்
ஒரு சூழலின் தரவு விசை சமரசம் செய்யப்பட்டாலும், இன்னொன்றைப் பற்றி எதுவும் வெளிப்படாது.
AAD பிணைப்பு
சூழலும் நோக்கமும் ஒவ்வொரு மறைக்குறியாக்க உரையிலும் பிணைக்கப்படுகின்றன, எனவே ஒரு மதிப்பை வரிசைகளுக்கோ டெனன்ட்களுக்கோ இடையில் நகர்த்த முடியாது.
பதிப்பிடப்பட்ட விசைகள்
முத்திரையிட்ட ஒவ்வொரு மதிப்பும் தான் உருவாக்கப்பட்ட விசைப் பதிப்பைப் பதிவுசெய்கிறது, எனவே விசைகளைச் சுழற்றலாம், பழைய மதிப்புகளை மீண்டும் பொதியலாம்.
அங்கீகரிக்கப்பட்டது
GCM டேக் இருப்பதால், மாற்றப்பட்ட மதிப்பு வேறொன்றாக மறைவிலக்கம் ஆவதற்குப் பதிலாகத் திறக்கவே தவறுகிறது.

  1. முதன்மை விசை

    தரவுத்தளத்துக்கு வெளியே வைக்கப்பட்டது, பதிப்பிடப்பட்டது

  2. தரவு விசை, ஒவ்வொரு சூழலுக்கும் ஒன்று

    முதன்மை விசையால் பொதியப்பட்டது

  3. ரகசியம்

    தரவு விசையின் கீழ் AES-256-GCM மூலம் முத்திரையிடப்பட்டது

u1.<key version>.<iv>.<ciphertext + tag>

aad = u1 | version | environment | purpose

முத்திரையிட்ட மதிப்பு, தனது அங்கீகரிக்கப்பட்ட தரவில் அதன் சூழலையும் நோக்கத்தையும் பெயரிடுகிறது. வேறு எங்காவது நகலெடுக்கப்பட்டால், அது திறக்காது.

நடைமுறைகள்

விவரங்கள், கவனமாகச் செய்யப்பட்டவை.

  • கடவுச்சொற்கள், நீங்கள் பயன்படுத்தினால்

    OWASP பரிந்துரைக்கும் செலவில் (19 MiB, இரண்டு சுற்றுகள்) Argon2id மூலம் ஹாஷ் செய்யப்படுகின்றன, ஒரே நேரத்தில் எத்தனை இயங்கலாம் என்பதற்கு வரம்பு உண்டு, எனவே உள்நுழைவுகளின் வெள்ளம் சேவையை முடக்க முடியாது. புதிய கடவுச்சொற்கள், அறியப்பட்ட கசிவுகளுடன் Have I Been Pwned-இன் range API மூலம் ஒப்பிட்டுச் சரிபார்க்கப்படுகின்றன, அது கடவுச்சொல்லின் ஹாஷின் ஒரு சிறிய முன்னொட்டை மட்டுமே பார்க்கிறது. குறைந்தபட்ச நீளம் இயல்பாக 12.

  • மீண்டும் இயக்கக்கூடிய எதுவும் சேமிக்கப்படுவதில்லை

    கிளையன்ட் ரகசியங்கள், டோக்கன்கள், மேஜிக் இணைப்பு டோக்கன்கள், மின்னஞ்சலில் வரும் குறியீடுகள் ஹாஷ் செய்து சேமிக்கப்படுகின்றன. காப்புக் குறியீடுகள் மறையாக்கம் செய்யப்படுகின்றன. அங்கீகாரக் குறியீடு ஐந்து நிமிடங்கள் நீடிக்கும்; மின்னஞ்சலில் வரும் குறியீட்டுக்கு மூன்று முயற்சிகள்.

  • ஒவ்வொரு கதவிலும் விகித வரம்புகள்

    உள்நுழைவு, பதிவுசெய்தல், மின்னஞ்சல் குறியீடுகள், மேஜிக் இணைப்புகள், கடவுச்சொல் மீட்டமைப்புகள், இரண்டாம் காரணிச் சரிபார்ப்புகள் ஒவ்வொன்றுக்கும் தனி வரம்பு உண்டு: எடுத்துக்காட்டாக, நிமிடத்துக்குப் பத்து கடவுச்சொல் உள்நுழைவுகள், பத்து நிமிடங்களுக்கு ஐந்து மின்னஞ்சல் குறியீடுகள்.

  • கண்டிப்பான Content-Security-Policy

    ஒவ்வொரு லாபி பக்கத்துக்கும் ஒரு புதிய nonce-உம் அதைச் சுற்றிக் கட்டப்பட்ட கொள்கையும் கிடைக்கின்றன: nonce கொண்ட, இந்த origin-இன் ஸ்கிரிப்ட்கள் மட்டுமே இயங்கும், படிவங்கள் அதே origin-க்கு மட்டுமே அனுப்பும், மற்ற தளங்கள் இந்தப் பக்கத்தை ஃப்ரேமில் வைக்க முடியாது.

  • நம்பக்கூடிய தணிக்கைப் பதிவு

    பணியிடங்கள், திட்டப்பணிகள், சூழல்களில் செய்யப்படும் மாற்றங்கள் சேர்க்க மட்டுமே முடியும் ஒரு பதிவில் எழுதப்படுகின்றன, ஒவ்வொரு பதிவும் முந்தையதுடன் ஹாஷ்-சங்கிலியிடப்படுகிறது, எனவே திருத்தப்பட்ட அல்லது காணாமல் போன பதிவு வெளிப்படும்.

  • வாடிக்கையாளர் URL-களுக்கு எக்ரெஸ் ப்ராக்ஸி

    வாடிக்கையாளர் தந்த முகவரிக்கு Usher Identity செய்யும் ஒவ்வொரு கோரிக்கையும் (OIDC டிஸ்கவரி, JWKS, பேக்-சேனல் வெளியேறுதல்) ஒரே ப்ராக்ஸி வழியாக வெளியேறுகிறது. அது பெயரை ஒருமுறை தீர்க்கிறது, தனிப்பட்ட, loopback, link-local, கிளவுட்-மெட்டாடேட்டா முகவரிகளை மறுக்கிறது, தான் சரிபார்த்த முகவரியுடனேயே இணைகிறது, எனவே DNS ரீபைண்டிங் மூலம் வாடிக்கையாளர் URL-ஐ உள் URL-ஆக மாற்ற முடியாது.

  • இரண்டு முறை வழங்கப்படாத ஹேண்டில்கள்

    புரொடக்ஷன் சூழலின் ஹேண்டில், அதன் இஷ்யூவரின் முதல் லேபிள். Console அழைப்பின் மூலம் மட்டுமே திறந்திருக்கும், ஃபிஷிங்குக்காகப் புகாரளிக்கப்பட்ட லாபி இடைநிறுத்தப்படும், ஒருமுறை பயன்படுத்தப்பட்ட ஹேண்டில் மீண்டும் ஒருபோதும் வழங்கப்படாது, ஏனெனில் பழைய ஆப்ஸ் இன்னும் அதன் டோக்கன்களை நம்பக்கூடும்.

  • நீங்கள் சொல்லும்போது முடியும் அமர்வுகள்

    Usher Identity கேஷ் செய்யப்பட்ட நகலை நம்பாமல், ஒவ்வொரு கோரிக்கையிலும் தனது அமர்வுகளைச் சரிபார்க்கிறது, எனவே நீங்கள் முடிக்கும் அமர்வு உடனே முடிந்துவிடும். அணுகல் டோக்கன்கள் குறுகிய ஆயுள் கொண்டவை (இயல்பாகப் பத்து நிமிடங்கள்), உங்கள் API அவற்றை இன்ட்ரோஸ்பெக்ட் செய்யலாம்.

பொறுப்பான வெளிப்படுத்தல்

ஏதாவது கண்டீர்களா? முதலில் எங்களிடம் சொல்லுங்கள்.

Usher Identity-இல் பாதுகாப்புச் சிக்கலைக் கண்டதாக நினைத்தால், அதைப் பற்றிக் கேட்க விரும்புகிறோம், அதைச் சரிசெய்ய உங்களுடன் இணைந்து செயல்படுவோம்.

security@usheridentity.com
  • நீங்கள் என்ன கண்டீர்கள், எங்கே, அதை எப்படி மீண்டும் உருவாக்குவது.
  • உங்கள் புரிதலின்படி, அதைக் கொண்டு ஒருவர் என்ன செய்ய முடியும்.
  • உங்களை எப்படித் தொடர்புகொள்வது, உங்களுக்குப் பெயர் குறிப்பிடப்பட வேண்டுமா என்பது.

நீங்கள் சொந்தமாக வைத்திருக்கும் சூழல்களில் மட்டுமே சோதியுங்கள், மற்றவர்களின் தரவை அணுகாதீர்கள், சிக்கலைப் பகிர்வதற்கு முன் அதைச் சரிசெய்ய எங்களுக்கு நியாயமான நேரம் கொடுங்கள். Usher Identity உள்நுழைவு போல் நடிக்கும் பக்கத்தைப் புகாரளிக்க, துஷ்பிரயோகத்தைப் புகாரளி பக்கத்தைப் பாருங்கள்.