Tydlike keppelings fan IP-tastieningslisten: wat de tastienning echt talit

Ien klik omsette yn in tydlike firewallregel is handich, en it bout ek in autorisaasjesysteem dat beslút wa’t in tsjinst berikke mei. Wat it útjout is in adres yn stee fan in persoan, en dat ferskil jildt fan it momint ôf dat twa minsken ien NAT diele. Behein de omfang fan de tastienning, befêstigje dy bewust en jou it ferrin betsjutting foardat de keppeling boud wurdt. It beslút foar jo is wêr’t de grins lizze moat, net oft der ien wêze moat.

Beslút op hokker fraach de tastienning antwurdet

Begjin by de eask. As in neamd persoan de tsjinst berikke moat en de applikaasje autentisearret dy persoan al, hâldt in autentisearre poarte de identiteit op it hanthaveningspunt en hat hielendal gjin adres-tastienning nedich. As it doel in build-agent, in administratyf springboard of in apparaat is dat net oan brûkersoanmelding dielnimme kin, kin in beheinde adrestastienning de iennichste praktyske kontrôle wêze.

It kiezen fan adrestastienning foar in applikaasje rjochte op brûkers ferpleatst it echte autorisaasjeprobleem nei in oar plak, en dan erft it portaal de skuld foar in gat dat it nea sletten hat.

Behein it fersyk op de server

De browser mei it bestimmingsplak, de poarte of it foarheaksel net kieze. It portaal lost de tsjinst op út syn eigen records en kontrolearret it rjocht mei in test oan de serverkant, wat itselde prinsipe is dat de autorisaasjerjochtline fan OWASP op elk fersyk tapast. It ôflieden fan it adres heart ek by de beskerme grins: as in omkearde proxy it kliïntadres rapportearret, akseptearje dan allinnich de konfigurearre proxykeatling en syn dokumintearre behanneling fan kopteksten. In trochstjoerkoptekst fan in besiker is in bewearing oer de oarsprong, gjin bewiis dêrfan.

Kontrolearje dan dat it portaal en de tsjinst deselde boarne sjogge. Splitstunnel, ien proxysprong en IPv4 tsjin IPv6 kinne twa bestimmings twa ferskillende adressen jaan, sadat in fia ien paad aktivearre tastienning it folgjende fersyk miskien net dekt.

Lit de tastienning sjen foardat it ynstallearjen

It iepenjen fan in keppeling soe de foarstelde tsjinst, de waarnommen boarne en de doer sjen litte en noch neat feroarje. Dy iene stap makket de keppeling út de e-post fan in aksje ta in foarstel, en it stopet in preview-bot of in e-postskanner om tagong te jaan troch him gewoan op te heljen.

De befêstiging soe in steatferoarjende oanfraach wêze moatte mei de gewoane cross-site- en oarsprongferdigening. It token soe ienmalich wêze moatte en atoom konsumearre wurde op it momint dat de regel ynstallearre wurdt, en de record soe de eigner, tsjinst, adres, tastiennansidentifikaasje en ferrin fêstlizze moatte sûnder ea it rouwe token te loggen.

It leverjen fan it token fertsjinnet deselde soarch as de regel sels. In ferrûn of al konsumearre keppeling dy’t noch in regel produsearret, is in twadde doar mei deselde kaai.

It adres wurdt dield sels wylst de tastienning libbet

In kantoar-NAT, in provider-NAT en in dielde VPN-útgong sette elk ferskate minsken efter ien adres. Dat adres tastean lit elkenien deryn efter ta — foar safier’t de folgjende grins fan de tsjinst oangiet —, wylst it neat bewiist oer wa’t it akkount hat dat de tsjinst ferwachtet.

It fuortheljen fan de regel is ek gjin universele ôfskieding. Fêstige ferbiningen, cachede applikaasjetokens en langlibbene sessys kinne de regel minuten of folle langer oerlibje, dus de libbensdoer dy’t jo kieze soe wjerspegelje moatte wat de tsjinst nei tastienning docht, net allinnich hoe lang de regel bestiet.

Test fjouwer gefallen, en beide adresfamyljes

In tastienning is mar sa goed as de fjouwer gefallen dy’t it oerlibbet: in nij talitten fersyk, in net-goedkarde oanfreeger, in werhelling fan deselde keppeling en itselde fersyk nei ferrin.

Test dan elke famylje apart, want it boarne-adres dat de tsjinst waarnimt kin tusken har ferskille.

dig +short A service.example.com
dig +short AAAA service.example.com
curl -4 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com
curl -6 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com

It nuttige resultaat is in tydlik, auditberber tastienningsbeslút ûnder normale brûkersautorisaasje, yn stee fan in permaninte iepening dy’t de namme draacht fan wa’t it earst klikte.