താത്കാലിക IP അനുമതിപ്പട്ടിക ലിങ്കുകൾ: അനുമതി യഥാർത്ഥത്തിൽ എന്താണ് അനുവദിക്കുന്നത്

ഒരു ക്ലിക്ക് താത്കാലിക ഫയർവാൾ നിയമമാക്കി മാറ്റുന്നത് സൗകര്യപ്രദമാണ്, അത് ഒരു സേവനത്തിലേക്ക് ആർക്ക് എത്താം എന്ന് തീരുമാനിക്കുന്ന അനുമതി സംവിധാനവും നിർമ്മിക്കുന്നു. അത് നൽകുന്നത് ഒരു വ്യക്തിയല്ല, ഒരു വിലാസമാണ്, രണ്ട് പേർ ഒരേ NAT പങ്കിടുന്ന നിമിഷം മുതൽ ആ വ്യത്യാസം പ്രധാനമാകുന്നു. അനുമതിയുടെ പരിധി നിർണ്ണയിക്കുക, അത് ബോധപൂർവം സ്ഥിരീകരിക്കുക, ലിങ്ക് നിർമ്മിക്കുന്നതിന് മുമ്പ് കാലഹരണത്തിന് അർത്ഥം നൽകുക. നിങ്ങളുടെ മുന്നിലുള്ള തീരുമാനം അതിർത്തി എവിടെ വയ്ക്കണം എന്നതാണ്, അതിർത്തി ഉണ്ടായിരിക്കണോ എന്നതല്ല.

അനുമതി ഏത് ചോദ്യത്തിന് ഉത്തരം നൽകുന്നു എന്ന് തീരുമാനിക്കുക

ആവശ്യകതയിൽ നിന്ന് ആരംഭിക്കുക. പേരെടുത്ത ഒരു വ്യക്തി സേവനത്തിൽ എത്തേണ്ടതുണ്ടെങ്കിൽ, ആപ്ലിക്കേഷൻ ഇതിനകം ആ വ്യക്തിയെ പ്രാമാണീകരിക്കുന്നുവെങ്കിൽ, പ്രാമാണീകരിച്ച ഗേറ്റ്വേ പ്രവർത്തനബിന്ദുവിൽ തന്നെ ഐഡന്റിറ്റി നിലനിർത്തുന്നു, വിലാസ അനുവാദം ഒട്ടും ആവശ്യമില്ല. ലക്ഷ്യം ഒരു ബിൽഡ് ഏജന്റോ, അഡ്മിനിസ്ട്രേറ്റീവ് ജമ്പ് പോർട്ടോ, ഉപയോക്തൃ ലോഗിൻ പങ്കെടുക്കാൻ കഴിയാത്ത ഒരു ഉപകരണമോ ആണെങ്കിൽ, പരിമിതമായ പരിധിയുള്ള വിലാസാനുമതി മാത്രമായിരിക്കും ലഭ്യമായ ഏക പ്രായോഗിക നിയന്ത്രണം.

ഉപയോക്തൃാഭിമുഖ ആപ്ലിക്കേഷന് വിലാസാനുവാദം തിരഞ്ഞെടുക്കുന്നത് യഥാർത്ഥ അനുമതി പ്രശ്നത്തെ മറ്റൊരിടത്തേക്ക് നീക്കുന്നു, പിന്നീട് പോർട്ടൽ ഒരിക്കലും അടച്ചിട്ടില്ലാത്ത ഒരു വിടവിന്റെ കുറ്റം അവകാശമായി ഏറ്റെടുക്കുന്നു.

സെർവറിൽ അഭ്യർത്ഥന പരിമിതപ്പെടുത്തുക

ലക്ഷ്യസ്ഥാനം, പോർട്ട് അല്ലെങ്കിൽ പ്രിഫിക്സ് ബ്രൗസർ തിരഞ്ഞെടുക്കരുത്. പോർട്ടൽ സ്വന്തം രേഖകളിൽ നിന്ന് സേവനം കണ്ടെത്തി സെർവർ വശത്തെ പരിശോധനയിലൂടെ അവകാശം പരിശോധിക്കുന്നു, ഇത് OWASP-ന്റെ അനുമതി മാർഗ്ഗനിർദ്ദേശം ഓരോ അഭ്യർത്ഥനയ്ക്കും പ്രയോഗിക്കുന്ന അതേ തത്വമാണ്. വിലാസത്തിന്റെ വ്യുൽപ്പത്തിയും സംരക്ഷിത അതിർത്തിയിൽ ഉൾപ്പെടുന്നു: റിവേഴ്സ് പ്രോക്സി ക്ലയന്റ് വിലാസം റിപ്പോർട്ട് ചെയ്യുമ്പോൾ, ക്രമീകരിച്ച പ്രോക്സി ശൃംഖലയും അതിന്റെ രേഖപ്പെടുത്തിയ ഹെഡർ കൈകാര്യം ചെയ്യലും മാത്രം സ്വീകരിക്കുക. സന്ദർശകൻ നൽകുന്ന ഫോർവേഡിംഗ് ഹെഡർ ഉത്ഭവത്തെക്കുറിച്ചുള്ള ഒരു അവകാശവാദമാണ്, അതിന്റെ തെളിവല്ല.

തുടർന്ന് പോർട്ടലും സേവനവും ഒരേ ഉറവിടം കാണുന്നുണ്ടോ എന്ന് പരിശോധിക്കുക. വിഭജിത ടണലിംഗ്, ഒരു പ്രോക്സി ഹോപ്പ്, IPv4 ഉം IPv6 ഉം തമ്മിലുള്ള വ്യത്യാസം എന്നിവ രണ്ട് ലക്ഷ്യസ്ഥാനങ്ങൾക്ക് രണ്ട് വ്യത്യസ്ത വിലാസങ്ങൾ നൽകിയേക്കാം, അതിനാൽ ഒരു പാതയിൽ നിന്ന് സജീവമാക്കിയ അനുമതി അടുത്ത അഭ്യർത്ഥന ഉൾക്കൊള്ളണമെന്നില്ല.

ഇൻസ്റ്റാൾ ചെയ്യുന്നതിന് മുമ്പ് അനുമതി കാണിക്കുക

ഒരു ലിങ്ക് തുറക്കുമ്പോൾ നിർദ്ദേശിച്ച സേവനം, നിരീക്ഷിച്ച ഉറവിടം, കാലയളവ് എന്നിവ കാണിക്കണം, ഇപ്പോൾ ഒന്നും മാറ്റരുത്. ആ ഒരു ഘട്ടം ഇമെയിലിൽ വന്ന ലിങ്കിനെ പ്രവർത്തനത്തിൽ നിന്ന് നിർദ്ദേശമാക്കി മാറ്റുന്നു, പ്രിവ്യൂ ബോട്ടിനോ മെയിൽ സ്കാനറിനോ അത് എടുക്കുന്നത് കൊണ്ട് മാത്രം പ്രവേശനം നൽകുന്നത് തടയുന്നു.

സ്ഥിരീകരണം സാധാരണ ക്രോസ്-സൈറ്റ്, ഉത്ഭവ പ്രതിരോധങ്ങളോടു കൂടിയ അവസ്ഥ മാറ്റുന്ന അഭ്യർത്ഥനയായിരിക്കണം. ടോക്കൺ ഒറ്റത്തവണ മാത്രം ഉപയോഗിക്കാവുന്നതാകണം, നിയമം ഇൻസ്റ്റാൾ ചെയ്യുന്ന നിമിഷത്തിൽ തന്നെ ആണവമായി ഉപഭോഗം ചെയ്യണം, രേഖയിൽ ഉടമ, സേവനം, വിലാസം, അനുമതി ഐഡന്റിഫയർ, കാലഹരണം എന്നിവ രേഖപ്പെടുത്തണം, അസംസ്കൃത ടോക്കൺ ഒരിക്കലും ലോഗ് ചെയ്യരുത്.

ടോക്കൺ എത്തിക്കുന്നതിന് നിയമത്തിന് ആവശ്യമായ അതേ ശ്രദ്ധ വേണം. കാലഹരണപ്പെട്ടതോ ഇതിനകം ഉപഭോഗം ചെയ്തതോ ആയ ഒരു ലിങ്ക് ഇപ്പോഴും ഒരു നിയമം സൃഷ്ടിക്കുന്നുവെങ്കിൽ, അത് അതേ താക്കോൽ കൊണ്ട് ഘടിപ്പിച്ച രണ്ടാമത്തെ വാതിലാണ്.

അനുമതി സജീവമായിരിക്കുമ്പോഴും വിലാസം പങ്കിടപ്പെടുന്നു

ഓഫീസ് NAT, കാരിയർ NAT, പങ്കിട്ട VPN എക്സിറ്റ് എന്നിവ ഓരോന്നും നിരവധി പേരെ ഒരു വിലാസത്തിന് പിന്നിൽ നിർത്തുന്നു. ആ വിലാസം അനുവദിക്കുന്നത് അതിന് പിന്നിലുള്ള എല്ലാവരെയും അനുവദിക്കുന്നു — സേവനത്തിന്റെ അടുത്ത അതിർത്തിയുടെ കാര്യത്തിൽ —, അതേസമയം സേവനം പ്രതീക്ഷിക്കുന്ന അക്കൗണ്ട് ആരുടെ കൈവശമാണെന്ന് ഒന്നും തെളിയിക്കുന്നുമില്ല.

നിയമം നീക്കം ചെയ്യുന്നതും സാർവത്രിക വിച്ഛേദമല്ല. സ്ഥാപിത കണക്ഷനുകൾ, കാഷെ ചെയ്ത ആപ്ലിക്കേഷൻ ടോക്കണുകൾ, ദീർഘകാല സെഷനുകൾ എന്നിവ നിയമത്തെ മിനിറ്റുകളോ അതിലേറെയോ അതിജീവിച്ചേക്കാം, അതിനാൽ നിങ്ങൾ തിരഞ്ഞെടുക്കുന്ന ആയുസ്സ് നിയമം എത്രകാലം നിലനിൽക്കുന്നു എന്നതല്ല, അനുവാദത്തിന് ശേഷം സേവനം എന്ത് ചെയ്യുന്നു എന്നത് പ്രതിഫലിപ്പിക്കണം.

നാല് സന്ദർഭങ്ങളും രണ്ട് വിലാസ കുടുംബങ്ങളും പരിശോധിക്കുക

ഒരു അനുമതി അത് അതിജീവിക്കുന്ന നാല് സന്ദർഭങ്ങളോളം മാത്രമേ മികച്ചതാകൂ: പുതിയതായി അനുവദിച്ച അഭ്യർത്ഥന, അനുവദിക്കാത്ത അഭ്യർത്ഥകൻ, അതേ ലിങ്കിന്റെ പുനരാവർത്തനം, കാലഹരണത്തിന് ശേഷമുള്ള അതേ അഭ്യർത്ഥന.

തുടർന്ന് ഓരോ കുടുംബവും വെവ്വേറെ പരിശോധിക്കുക, കാരണം സേവനം നിരീക്ഷിക്കുന്ന ഉറവിട വിലാസം അവയ്ക്കിടയിൽ വ്യത്യാസപ്പെടാം.

dig +short A service.example.com
dig +short AAAA service.example.com
curl -4 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com
curl -6 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com

ഉപയോഗപ്രദമായ ഫലം സാധാരണ ഉപയോക്തൃ അനുമതിക്ക് കീഴിലുള്ള താത്കാലികവും ഓഡിറ്റ് ചെയ്യാവുന്നതുമായ അനുവാദ തീരുമാനമാണ്, ആദ്യം ക്ലിക്ക് ചെയ്തയാളുടെ പേര് വഹിക്കുന്ന സ്ഥിരമായ തുറവിയല്ല.