External ID i problem zdezorientowanego zastępcy

Gdy pozwalają Państwo zewnętrznemu podmiotowi przyjąć rolę na Państwa koncie, może wystąpić zagrożenie bezpieczeństwa zwane problemem zdezorientowanego zastępcy. Identyfikator zewnętrzny to prosta, ale kluczowa kontrola, która temu zapobiega. Ten wzorzec pojawia się na egzaminie zawsze wtedy, gdy dostawca SaaS potrzebuje dostępu do Państwa konta AWS.

Zdezorientowany zastępca to zaufany podmiot (zastępca), który zostaje nakłoniony do użycia swoich uprawnień na rzecz atakującego. W AWS usługa zewnętrznego podmiotu może mieć uprawnienia do przyjmowania ról na wielu kontach klientów. Jeśli nic nie wiąże żądania z prawidłową relacją z klientem, atakujący może nakłonić ją do przyjęcia Państwa roli.

Wyobraźmy sobie usługę monitorowania SaaS, która przyjmuje rolę na każdym koncie klienta. SaaS używa jednej tożsamości AWS dla wszystkich klientów. Jeśli atakujący będący również klientem odgadnie ARN Państwa roli, może przekonać usługę SaaS do przyjęcia Państwa roli, ponieważ SaaS jest zaufanym podmiotem. Sam identyfikator konta nie wystarcza, aby temu zapobiec.

Identyfikator zewnętrzny to unikatowa, poufna wartość przypisywana przez dostawcę do relacji z Państwem. Należy umieścić ją w polityce zaufania roli jako warunek, a dostawca musi przekazać dokładnie tę samą wartość podczas wywoływania AssumeRole. Ponieważ atakujący nie zna Państwa identyfikatora zewnętrznego, nie może nakłonić dostawcy do przyjęcia Państwa roli.

Ta polityka zaufania wymaga zgodnego identyfikatora zewnętrznego. AssumeRole powiedzie się tylko wtedy, gdy dostawca przekaże identyczną wartość, co udaremni atak zdezorientowanego zastępcy.

Co najważniejsze, dostawca, a nie klient, generuje identyfikator zewnętrzny i nim zarządza. Zapobiega to zmowie klientów mającej na celu ponowne użycie tej samej wartości. Wytyczne AWS są jednoznaczne: jako zewnętrzny podmiot należy przypisać każdemu klientowi unikatowy identyfikator zewnętrzny i wymagać go przy każdym przyjęciu roli.

Identyfikator zewnętrzny nie ma być sekretem takim jak hasło — może pojawiać się w instrukcjach konfiguracji. Jego wartość w zakresie bezpieczeństwa wynika z tego, że jest unikatowy dla każdego klienta i zarządzany przez dostawcę, dzięki czemu atakujący nie może skłonić zastępcy do użycia wartości innego klienta. Należy traktować go jako token przeciwdziałający podszywaniu się, a nie dane uwierzytelniające.

Identyfikator zewnętrzny kontroluje, kto może przyjąć rolę, ale nadal należy precyzyjnie określić, co rola może robić, za pomocą restrykcyjnych polityk uprawnień. Nawet prawidłowo autoryzowany dostawca powinien otrzymać tylko minimalne wymagane uprawnienia. W celu bezpiecznego dostępu zewnętrznych podmiotów należy połączyć identyfikator zewnętrzny, konkretnego podmiotowego principal oraz uprawnienia zgodne z zasadą najmniejszych uprawnień.

Wzorzec zdezorientowanego zastępcy dotyczy również usług AWS działających w Państwa imieniu. Zaufanie między usługami często wykorzystuje klucze warunków, takie jak aws:SourceArn i aws:SourceAccount, w politykach zasobów, aby upewnić się, że wywołująca usługa działa na rzecz Państwa zasobu — to ta sama idea obrony w innej formie.

Zawsze gdy pytanie opisuje zewnętrzny podmiot lub usługę SaaS przyjmującą rolę między kontami, bezpieczna odpowiedź niemal zawsze obejmuje identyfikator zewnętrzny w polityce zaufania. Jeśli scenariusz dotyczy komunikacji między usługami, należy szukać warunków aws:SourceArn/aws:SourceAccount. Rozpoznanie tej wskazówki prowadzi bezpośrednio do właściwej kontroli.

Problem zdezorientowanego zastępcy pozwala atakującemu nakłonić zaufany zewnętrzny podmiot do niewłaściwego użycia dostępu. Identyfikator zewnętrzny, unikatowy dla każdego klienta i zarządzany przez dostawcę, zapobiega temu problemowi, wymagając zgodnej wartości przy wywołaniu AssumeRole. W przypadku usług AWS należy używać aws:SourceArn i aws:SourceAccount. Zawsze należy łączyć te mechanizmy z uprawnieniami zgodnymi z zasadą najmniejszych uprawnień.

Sprawdź znajomość pojęcia zdezorientowanego zastępcy.

Problem zdezorientowanego zastępcy występuje, gdy zaufany zewnętrzny podmiot zostaje nakłoniony do niewłaściwego użycia dostępu między kontami. Identyfikator zewnętrzny, unikatowy dla każdego klienta i zarządzany przez dostawcę, zapobiega temu problemowi dzięki warunkowi polityki zaufania opartemu na sts:ExternalId. W przypadku zaufania między usługami AWS należy używać aws:SourceArn i aws:SourceAccount, zawsze zgodnie z zasadą najmniejszych uprawnień.