OAuth ġewwa VPN: liema taqsimiet għadhom jeħtieġu TLS

Ir-rotot privati jiddeċiedu min jasal għas-server; ir-regoli tat-trasport ta' OAuth jiddeċiedu kif jivvjaġġa kull messaġġ. Browser, server ta' awtorizzazzjoni, punt tat-tmiem tat-token u server tar-riżorsi jistgħu kollha jkunu war l-istess VPN u xorta jibdlu messaġġi minn taqsimiet differenti. Kull taqsima għandha l-ħtieġa tat-trasport tagħha, u l-VPN ma ttaffix waħda minnhom. Il-fruntiera tal-VPN u l-fruntiera tal-protokoll huma żewġ linji differenti.

Id-deċiżjoni hija eħfef jekk tieqaf tistaqsi jekk in-netwerk huwiex affidabbli u tibda tistaqsi liema skambju qed jaqsam liema fruntiera.

Iddeċiedi skont it-taqsima, mhux skont in-netwerk

Ikteb il-punti tat-tmiem separatament: punt tat-tmiem ta' awtorizzazzjoni, punt tat-tmiem tat-token, URI ta' ridirezzjoni, URL tas-server tar-riżorsi, punt tat-tmiem tat-TLS u gateway tal-VPN. Imbagħad immarka liema parti tibda kull talba u fejn tmur it-tweġiba.

VPN li tintemm f'gateway tissifra s-segment sa dak il-gateway. It-talba tista' tkompli bħala HTTP sempliċi warajh, u dak is-segment li jifdal ma sarx HTTPS għax segment preċedenti kien issifrat. Propju dik il-kontinwazzjoni hija s-segment li jimpurtah mill-protokoll. Is-sifir tal-ewwel qabża ma jagħmilx it-tieni qabża sikura.

It-trasport iġorr ukoll verifika tal-identità tas-servizz. Il-browser jivvalida ċ-ċertifikat għall-URL tal-applikazzjoni; VPN ma twettaqx dik il-verifika f'isem il-browser, u ma tagħmilx punt tat-tmiem mhux ivvalidat aċċettabbli. Iċ-ċertifikat isemmi l-punt tat-tmiem li l-klijent jaħseb li qed isejjaħ. Mina lejn gateway ma tibdilx isem dak il-punt tat-tmiem u ma tivvalidahx.

It-tweġiba ta' awtorizzazzjoni u l-URI ta' ridirezzjoni

L-aħjar prattika tas-sigurtà attwali ta' OAuth tipprojbixxi li tweġibiet ta' awtorizzazzjoni jiġu trasmessi fuq konnessjonijiet mhux issifrati. Dan jinkludi r-ridirezzjoni li ġġorr il-kodiċi ta' awtorizzazzjoni jew it-tokens lura lill-klijent, mhux biss it-talba inizjali.

L-istess gwida ma tippermettix URI ta' ridirezzjoni HTTP, ħlief għall-każ ta' loopback speċifikat għall-klijenti nattivi. Isem ta' host intern ma joħloqx eċċezzjoni ġdida, u isem DNS li jiġi riżolt biss ġewwa l-VPN għadu URL HTTP jekk l-iskema tgħid hekk. Iċċekkja l-iskema fl-URI rreġistrat, mhux biss l-isem tal-host.

Irreġistra l-URI ta' ridirezzjoni HTTPS eżatt mas-server ta' awtorizzazzjoni u żomm il-validazzjoni taċ-ċertifikati attiva fuq il-klijent. Shortcut tal-iżvilupp li jrażżan il-ħtieġa tal-HTTPS jipproduċi fluss li jġib ruħu b'mod differenti mill-konfigurazzjoni tal-produzzjoni li suppost jimita.

Il-punt tat-tmiem tat-token u t-talbiet tat-token ġarrier

It-talba tat-token iġġorr kredenzjali jew kodiċi li jista' jiġi skambjat għal aċċess. L-ibgħat tagħha fuq taqsima mhux protetta teskponi materjal li l-server tar-riżorsi se jafdah aktar tard, anki jekk in-netwerk madwaru huwa privat. Proxy li jista' jaqra t-talba jista' jaqra wkoll il-kredenzjali li ġġorr.

Għal talbiet tar-riżorsi bit-token ġarrier, RFC 6750 tqis it-TLS obbligatorja biex tiġi implimentata u użata għal dik l-ispeċifikazzjoni. Li ssejjaħ is-subnet tal-uffiċċju affidabbli mhijiex l-eċċezzjoni ġenerali tal-protokoll li teħtieġ implimentazzjoni ġarriera b'test sempliċi.

Uża l-URLs sikuri dokumentati tal-punti tat-tmiem għaż-żewġ taqsimiet. Jekk librerija tirrifjuta li ssejjaħ punt tat-tmiem tat-token HTTP, dak ir-rifjut hija l-ispeċifikazzjoni taħdem, mhux difett ta' konfigurazzjoni biex tiġi evitata. Irreġistra dak l-URL fil-konfigurazzjoni tal-klijent minflok ma toħroġha waqt l-eżekuzzjoni.

Fejn jintemm it-TLS u x'jibqa' warajh

Jekk it-TLS jintemm f'frontend awtorizzat, semmi dak il-frontend u rrevedi l-passaġġ minnu għall-applikazzjoni. Il-frontend isir responsabbli għat-trasferiment, il-fiduċja u l-kunfidenzjalità fuq is-segment li jifdal, u l-arkitettura appoġġata tas-servizz għandha tiddeskrivi dak l-arranġament.

VPN x'imkien ieħor fil-passaġġ ma ssolvix dawk ir-responsabbiltajiet. Lanqas ma tgħidlek jekk l-URL tal-applikazzjoni li jara l-browser taqbilx maċ-ċertifikat li jippreżenta l-frontend.

Għal implimentazzjoni interna, irreġistra l-punt tat-tmiem u l-identità li jippreżenta. Frontend li jtemm it-TLS b'ċertifikat għal isem ieħor joħloq twissija tal-browser li l-operaturi spiss irażżnu minflok ma jsewwuha.

L-eċċezzjoni tal-loopback nattiva hija dejqa

L-eċċezzjoni tar-ridirezzjoni loopback tikkonċerna callback fuq it-tagħmir tal-utent stess, fejn il-klijent u l-browser jaqsmu dak it-tagħmir. Dak l-arranġament jappartjeni lil callback fuq tagħmir wieħed, u ma jagħtix liċenzja biex jiġi servut server ta' awtorizzazzjoni normali jew API li ġġorr tokens fuq HTTP lis-subnet tal-uffiċċju.

Żomm l-eċċezzjoni limitata għat-tip ta' klijent u l-callback li tiddeskrivi. L-applikazzjoni tagħha għal applikazzjoni web, servizz intern maqsum jew URI ta' ridirezzjoni fuq host ieħor tibdel l-implimentazzjoni, mhux l-eċċezzjoni.

Ittestja l-fluss attwali f'kull fruntiera u qabblu mat-tip ta' klijent. Ridirezzjoni li taħdem ma tgħid xejn dwar jekk kull taqsima li ġarret token użatx il-protezzjoni meħtieġa, u ikona ħadra tal-VPN ma tgħid xejn dwar l-iskema tat-talba li jmiss.