Müvəqqəti IP icazə siyahısı linkləri: icazə əslində nəyə yol verir

Bir kliklə müvəqqəti firewall qaydası yaratmaq rahatdır və eyni zamanda hansı şəxsin bir xidmətə çata biləcəyini həll edən avtorizasiya sistemi qurur. Verdiyi şey şəxs deyil, ünvandır və bu fərq iki nəfər bir NAT-ı paylaşdığı anda əhəmiyyət qazanır. İcazənin əhatəsini müəyyənləşdirin, onu qəsdən təsdiqləyin və link qurulmazdan əvvəl bitmə müddətini mənalı edin. Qarşınızdakı qərar sərhədin harada qoyulacağıdır, hansısa sərhədin olub-olmaması deyil.

İcazənin hansı suala cavab verdiyini müəyyən edin

Tələbdən başlayın. Əgər adı çəkilən şəxs xidmətə çatmalıdırsa və tətbiq artıq həmin şəxsi doğrulayırsa, autentifikasiya olunmuş şlüz kimliyi icra nöqtəsində saxlayır və heç bir ünvan qəbuluna ehtiyac duymur. Əgər hədəf build agenti, inzibati jump portu və ya istifadəçi girişində iştirak edə bilməyən bir cihazdırsa, əhatəsi məhdud ünvan icazəsi mövcud yeganə praktik nəzarət ola bilər.

İstifadəçiyə baxan tətbiq üçün ünvan qəbulunu seçmək əsl avtorizasiya probleminin yerini dəyişir və portal sonra heç vaxt bağlamadığı boşluğun günahını daşıyır.

Sorğunu serverdə məhdudlaşdırın

Brauzer təyinatı, portu və ya prefiksi seçməməlidir. Portal xidməti öz qeydlərindən həll edir və hüququ server tərəfli testlə yoxlayır, bu da OWASP-ın avtorizasiya təlimatının hər sorğuya tətbiq etdiyi prinsipdir. Ünvanın çıxarılması da qorunan sərhəddə yer alır: əks proxy müştəri ünvanını bildirdikdə yalnız konfiqurasiya edilmiş proxy zəncirini və onun sənədləşdirilmiş başlıq davranışını qəbul edin. Ziyarətçinin təqdim etdiyi yönləndirmə başlığı mənbə haqqında iddiadır, onun sübutu deyil.

Sonra portalın və xidmətin eyni mənbəni gördüyünü yoxlayın. Bölünmüş tunel, bir proxy hopu və IPv4-ə qarşı IPv6 iki təyinata iki fərqli ünvan verə bilər, ona görə bir yoldan aktivləşdirilmiş icazə sonrakı sorğunu əhatə etməyə bilər.

İcazəni quraşdırmadan əvvəl göstərin

Linkin açılması təklif olunan xidməti, müşahidə edilən mənbəni və müddəti göstərməli, hələ heç nəyi dəyişməməlidir. Bu tək addım e-poçtla göndərilən linki hərəkətdən təklifə çevirir və önizləmə botunun və ya poçt skanerinin sadəcə onu yükləməklə giriş verməsini dayandırır.

Təsdiq adi saytlararası və mənşə müdafiələri ilə vəziyyəti dəyişən sorğu olmalıdır. Token birdəfəlik olmalı və qayda quraşdırıldığı anda atomik şəkildə istifadə edilməlidir, qeyd isə sahibi, xidməti, ünvanı, icazə identifikatorunu və bitmə tarixini saxlamalı, xam tokeni heç vaxt jurnala yazmamalıdır.

Tokenin çatdırılması qaydanın özü qədər diqqətə layiqdir. Vaxtı keçmiş və ya artıq istifadə olunmuş link hələ də qayda yaradırsa, bu, eyni açarla quraşdırılmış ikinci qapıdır.

İcazə qüvvədə olsa da ünvan paylaşılır

Ofis NAT-ı, operator NAT-ı və paylaşılan VPN çıxışı hər biri bir neçə nəfəri bir ünvanın arxasına qoyur. Həmin ünvana yol vermək onun arxasındakı hər kəsə yol verir — xidmətin növbəti sərhədi baxımından —, eyni zamanda xidmətin gözlədiyi hesabı kimin saxladığı barədə heç nə sübut etmir.

Qaydanı silmək də universal əlaqə kəsmə deyil. Qurulmuş bağlantılar, keşlənmiş tətbiq tokenləri və uzunömürlü sessiyalar qaydadan dəqiqələrlə və ya daha çox yaşaya bilər, ona görə seçdiyiniz ömür qaydanın nə qədər mövcud olduğunu deyil, xidmətin qəbuldan sonra nə etdiyini əks etdirməlidir.

Dörd halı və hər iki ünvan ailəsini sınayın

İcazə yalnız dözə bildiyi dörd hal qədər yaxşıdır: yeni icazəli sorğu, təsdiqlənməmiş sorğu sahibi, eyni linkin təkrarı və bitmədən sonra eyni sorğu.

Sonra hər ailəni ayrıca sınayın, çünki xidmətin müşahidə etdiyi mənbə ünvanı onlar arasında fərqlənə bilər.

dig +short A service.example.com
dig +short AAAA service.example.com
curl -4 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com
curl -6 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com

Faydalı nəticə adi istifadəçi avtorizasiyasının altında duran müvəqqəti, audit edilə bilən qəbul qərarıdır, ilk klikləyənin adını daşıyan daimi bir açılış deyil.