ID Luaran dan Timbalan yang Keliru

Apabila anda membenarkan pihak ketiga mengandaikan peranan dalam akaun anda, risiko keselamatan yang dipanggil masalah timbalan yang keliru boleh berlaku. ID luaran ialah kawalan yang ringkas tetapi penting untuk mencegahnya. Corak ini muncul dalam peperiksaan apabila pembekal SaaS memerlukan akses kepada akaun AWS anda.

Timbalan yang keliru ialah entiti dipercayai (timbalan) yang diperdaya untuk menggunakan kuasanya bagi pihak penyerang. Dalam AWS, perkhidmatan pihak ketiga mempunyai kebenaran untuk mengandaikan peranan dalam banyak akaun pelanggan; penyerang boleh memperdayanya supaya mengandaikan peranan anda jika tiada apa-apa yang mengaitkan permintaan itu dengan hubungan pelanggan yang sah.

Bayangkan perkhidmatan SaaS pemantauan yang mengandaikan peranan dalam setiap akaun pelanggan. SaaS itu menggunakan satu identiti AWS untuk semua pelanggan. Jika penyerang yang juga merupakan pelanggan meneka ARN peranan anda, mereka mungkin memujuk SaaS itu untuk mengandaikan peranan anda kerana SaaS tersebut ialah prinsipal yang dipercayai. ID akaun sahaja tidak mencukupi untuk menghalangnya.

ID luaran ialah nilai unik dan rahsia yang diberikan oleh pembekal kepada hubungan anda. Anda meletakkannya dalam dasar kepercayaan peranan sebagai syarat, dan pembekal mesti membekalkan nilai yang sama tepat apabila memanggil AssumeRole. Oleh sebab penyerang tidak mengetahui ID luaran anda, mereka tidak boleh memperdaya pembekal supaya mengandaikan peranan anda.

Dasar kepercayaan ini memerlukan ID luaran yang sepadan. AssumeRole hanya berjaya apabila pembekal menghantar nilai yang sama, sekali gus menggagalkan serangan timbalan yang keliru.

Yang penting, pembekal menjana dan mengawal ID luaran, bukannya pelanggan. Ini menghalang pelanggan daripada berpakat untuk menggunakan semula nilai yang sama. Panduan AWS adalah jelas: sebagai pihak ketiga, anda mesti memberikan setiap pelanggan ID luaran yang unik dan mewajibkannya bagi setiap andaian.

ID luaran tidak bertujuan menjadi rahsia seperti kata laluan; ID itu boleh muncul dalam arahan persediaan. Nilai keselamatannya datang daripada sifatnya yang unik bagi setiap pelanggan dan dikawal oleh pembekal, supaya penyerang tidak boleh membuat timbalan menggunakan nilai pelanggan yang salah. Anggap ia sebagai token pencegah penyamaran, bukan kelayakan.

ID luaran mengawal siapa yang boleh mengandaikan, tetapi anda masih perlu menetapkan skop perkara yang boleh dilakukan oleh peranan dengan dasar kebenaran yang ketat. Walaupun pembekal telah diberi kuasa dengan betul, mereka hanya patut menerima kebenaran minimum yang diperlukan. Gabungkan ID luaran, prinsipal khusus dan kebenaran berkeistimewaan minimum untuk akses pihak ketiga yang selamat.

Corak timbalan yang keliru juga terpakai pada perkhidmatan AWS yang bertindak bagi pihak anda. Kepercayaan antara perkhidmatan sering menggunakan kunci syarat seperti aws:SourceArn dan aws:SourceAccount dalam dasar sumber untuk memastikan perkhidmatan pemanggil bertindak bagi sumber anda, iaitu idea pertahanan yang sama dalam bentuk yang berbeza.

Apabila soalan menerangkan pihak ketiga atau SaaS yang mengandaikan peranan merentas akaun, jawapan selamat hampir selalu melibatkan ID luaran dalam dasar kepercayaan. Jika senario itu melibatkan perkhidmatan kepada perkhidmatan, cari syarat aws:SourceArn/aws:SourceAccount sebagai gantinya. Mengenal pasti petunjuk ini membawa anda terus kepada kawalan yang betul.

Masalah timbalan yang keliru membolehkan penyerang memperdaya pihak ketiga yang dipercayai supaya menyalahgunakan aksesnya. ID luaran, yang unik bagi setiap pelanggan dan dikawal oleh pembekal, mencegahnya dengan mewajibkan nilai yang sepadan pada AssumeRole. Untuk perkhidmatan AWS, gunakan aws:SourceArn dan aws:SourceAccount. Sentiasa gabungkan semua ini dengan kebenaran berkeistimewaan minimum.

Masalah timbalan yang keliru timbul apabila pihak ketiga yang dipercayai diperdaya untuk menyalahgunakan akses merentas akaunnya. ID luaran, yang unik bagi setiap pelanggan dan dikawal oleh pembekal, mencegahnya melalui syarat dasar kepercayaan pada sts:ExternalId. Untuk kepercayaan antara perkhidmatan AWS, gunakan aws:SourceArn dan aws:SourceAccount, sentiasa dengan keistimewaan minimum.