ID externe et problème du député confus

Lorsque vous autorisez un tiers à assumer un rôle dans votre compte, un risque de sécurité appelé problème du député confus peut apparaître. L'identifiant externe est le contrôle simple mais essentiel qui permet de l'empêcher. Ce modèle apparaît à l'examen chaque fois qu'un fournisseur SaaS doit accéder à votre compte AWS.

Un député confus est une entité de confiance (le député) qui est manipulée pour utiliser son autorité au profit d'un attaquant. Dans AWS, un service tiers peut être autorisé à assumer des rôles dans de nombreux comptes client ; un attaquant pourrait le pousser à assumer votre rôle si rien ne lie la demande à la relation légitime avec le client.

Imaginez un service SaaS de surveillance qui assume un rôle dans chaque compte client. Le SaaS utilise une même identité AWS pour tout le monde. Si un attaquant qui est également client devine l'ARN de votre rôle, il pourrait convaincre le SaaS d'assumer votre rôle, puisque le SaaS est le principal de confiance. L'ID de compte ne suffit pas à empêcher cela.

L'identifiant externe est une valeur unique et secrète que le fournisseur attribue à votre relation. Vous l'ajoutez comme condition dans la politique d'approbation de votre rôle, et le fournisseur doit fournir exactement la même valeur lors de l'appel à AssumeRole. Comme l'attaquant ne connaît pas votre identifiant externe, il ne peut pas tromper le fournisseur pour qu'il assume votre rôle.

Cette politique d'approbation exige l'identifiant externe correspondant. AssumeRole réussit uniquement lorsque le fournisseur transmet une valeur identique, ce qui neutralise l'attaque du député confus.

Point essentiel : c'est le fournisseur qui génère et contrôle l'identifiant externe, et non le client. Cela empêche les clients de s'entendre pour réutiliser la même valeur. Les recommandations AWS sont explicites : en tant que tiers, vous devez attribuer à chaque client un identifiant externe unique et l'exiger à chaque prise de rôle.

L'identifiant externe n'est pas destiné à rester secret comme un mot de passe ; il peut apparaître dans les instructions de configuration. Sa valeur en matière de sécurité vient du fait qu'il est unique pour chaque client et contrôlé par le fournisseur, de sorte qu'un attaquant ne peut pas faire utiliser au député la valeur d'un autre client. Considérez-le comme un jeton anti-usurpation, et non comme un identifiant d'authentification.

L'identifiant externe contrôle qui peut assumer le rôle, mais vous devez toujours définir précisément ce que le rôle peut faire à l'aide de politiques d'autorisation strictes. Même un fournisseur correctement autorisé ne devrait recevoir que les autorisations minimales nécessaires. Pour sécuriser l'accès d'un tiers, combinez l'identifiant externe, un principal précis et des autorisations fondées sur le moindre privilège.

Le modèle du député confus s'applique également aux services AWS qui agissent en votre nom. La confiance entre services utilise souvent des clés de condition telles que aws:SourceArn et aws:SourceAccount dans les politiques de ressources, afin de vérifier que le service appelant agit pour votre ressource ; c'est la même idée défensive présentée sous une autre forme.

Lorsqu'une question décrit un tiers ou un service SaaS qui assume un rôle entre plusieurs comptes, la réponse sécurisée implique presque toujours un identifiant externe dans la politique d'approbation. S'il s'agit d'un scénario entre services, recherchez plutôt les conditions aws:SourceArn/aws:SourceAccount. Reconnaître cet indice vous oriente directement vers le bon contrôle.

Le problème du député confus permet à un attaquant de tromper un tiers de confiance pour qu'il utilise son accès de manière abusive. L'identifiant externe, unique pour chaque client et contrôlé par le fournisseur, l'empêche en exigeant une valeur correspondante lors de l'appel à AssumeRole. Pour les services AWS, utilisez aws:SourceArn et aws:SourceAccount. Associez toujours ces contrôles à des autorisations fondées sur le moindre privilège.

Testez votre compréhension du concept de député confus.

Le problème du député confus apparaît lorsqu'un tiers de confiance est trompé et utilise abusivement son accès entre comptes. L'identifiant externe, unique pour chaque client et contrôlé par le fournisseur, l'empêche grâce à une condition de la politique d'approbation portant sur sts:ExternalId. Pour la confiance entre services AWS, utilisez aws:SourceArn et aws:SourceAccount, toujours selon le principe du moindre privilège.