Temporär Linken op IP-Zoulosslëschten: wat d’Autorisatioun wierklech zouloosst

Een Klick an eng temporär Firewallreegel ëmzewandelen ass bequem, an et baut och en Autorisatiounssystem op, deen entscheet, wie op engem Service ka kommen. Et gëtt eng Adress aus, net eng Persoun, an deen Ënnerscheed ass wichteg vun deem Ament un, wou zwou Persounen eng NAT deelen. Begrenzt den Ëmfang vun der Autorisatioun, bestätegt se bewosst a gitt dem Oflaf eng Bedeitung, ier de Link gebaut gëtt. D’Entscheedung, déi virun Iech läit, ass wou d’Grenz soll leien, net ob et iwwerhaapt eng Grenz soll ginn.

Entscheet, op wéi eng Fro d’Autorisatioun äntwert

Fänkt bei der Ufuerderung un. Wann eng genannte Persoun de Service muss erreechen an d’Applikatioun déi Persoun schonn authentifizéiert, hält eng authentifizéiert Paart d’Identitéit um Punkt vun der Duerchsetzung a brauch iwwerhaapt keng Adresszoulossung. Wann d’Zil en Build-Agent, eng administrativ Sprongpaart oder en Apparat ass, deen net kann un der Benotzeranmeldung deelhuelen, kann eng Adressautorisatioun mat engem enke Kader déi eenzeg praktesch Kontroll sinn.

Fir eng Applikatioun, déi op Benotzer ausgeriicht ass, d’Adresszoulossung ze wielen, verréit dat eigentlech Autorisatiounsproblem an eng aner Plaz, an dunn ierft de Portal d’Schold fir eng Läin, déi en ni zougemaach huet.

Begrenzt d’Ufro um Server

De Browser däerf net d’Destinatioun, de Port oder de Prefix wielen. De Portal léist de Service aus sengen eegene Registre a kontrolléiert de Recht mat engem Test op der Serversäit, wat deeselwechte Prinzip ass, deen d’OWASP-Autorisatiounsrichtlinn op all Ufro applizéiert. D’Ofleedung vun der Adress gehéiert och zu der geschützter Grenz: wann e Reverse-Proxy d’Adress vum Client mëttelt, akzeptéiert just d’konfiguréiert Proxyketten an hir dokumentéiert Ëmgang mat Headeren. En Header vum Weiderleeden, deen e Besichteger liwwert, ass eng Behauptung iwwer d’Hierkonft, net hire Beweis.

Préift dann, ob de Portal an de Service déiselwecht Quell gesinn. Splittunneling, ee Proxysprong an IPv4 géint IPv6 kënnen zwou Destinatiounen zwou verschidden Adressen ginn, soudatt eng Autorisatioun, déi iwwer ee Wee aktivéiert gouf, déi nächst Ufro vläicht net deckt.

Weist d’Autorisatioun, ier se installéiert gëtt

En Link opzemaachen soll de virgeschloene Service, déi observéiert Quell an d’Dauer weisen an nach näischt änneren. Dee eenzege Schrëtt mécht de Link aus der E-Mail aus enger Aktioun zu engem Virschlag, an en hënnert e Virschaubot oder e Mailscanner drun, just duerch d’Ofruffen Zougang ze ginn.

D’Bestätegung soll eng Ufro sinn, déi den Zoustand ännert, mat de üblechen Cross-Site- a Quelle-Schutzmoossnamen. Den Token soll eenzel benotzbar sinn an am Ament, wou d’Reegel installéiert gëtt, atomar verbraucht ginn, an de Rekord soll den Eigentümer, de Service, d’Adress, den Identifiant vun der Autorisatioun an den Oflaf erfaassen, ouni je de rouen Token ze loggen.

D’Liwwerung vum Token verdéngt déiselwecht Suergfalt wéi d’Reegel selwer. En ofgelafenen oder schonn verbrauchte Link, deen nach ëmmer eng Reegel produzéiert, ass eng zweet Dier mat demselwechte Schlëssel.

D’Adress ass gedeelt, och wärend d’Autorisatioun lieft

Eng Büro-NAT, eng Carrier-NAT an en gedeelte VPN-Ausgang setzen all e puer Leit hannert eng Adress. Déi Adress zouloossen heescht all déi hannendran zouloossen — wat déi nächst Grenz vum Service ugeet —, ouni eppes doriwwer ze beweisen, wien de Kont huet, deen de Service erwaart.

D’Reegel ewechzehuelen ass och keng universell Trennung. Etabléiert Verbindungen, gecachte Applikatiounstoken an laanglieweg Sessioune kënnen d’Reegel ëm Minutten oder vill méi laang iwwerliewe, dofir soll d’Liewensdauer, déi Dir wielt, reflektéieren, wat de Service no der Zoulossung mécht, an net just wéi laang d’Reegel besteet.

Test véier Fäll, an déi zwou Adressfamillen

Eng Autorisatioun ass just esou gutt wéi déi véier Fäll, déi se iwwersteet: eng nei erlaabten Ufro, en net guttgeheescht Ufroer, eng Widderhuelung vum selwechte Link an déiselwecht Ufro nom Oflaf.

Test dann all Famill getrennt, well d’Quelladress, déi de Service observéiert, sech tëschent hinne kann ënnerscheeden.

dig +short A service.example.com
dig +short AAAA service.example.com
curl -4 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com
curl -6 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com

Dat nëtzlech Resultat ass eng temporär, auditéierbar Zoulossungsentscheedung ënner der normaler Benotzerautorisatioun, amplaz enger permanenter Öffnung, déi den Numm vun deem dréit, deen als éischten geklickt huet.