Ħoloq temporanji tal-lista tal-IP permessi: x’jammetti tassew il-permess

It-trasformazzjoni ta’ klikk wieħed f’regola temporanja tal-firewall hija komda, u tibni wkoll sistema ta’ awtorizzazzjoni li tiddeċiedi min jista’ jasal għal servizz. Tohroġ indirizz aktar milli persuna, u dik id-differenza tgħodd fil-mument li żewġ persuni jaqsmu NAT wieħed. Illimita l-ambitu tal-permess, ikkonfermah b’mod deliberat, u agħti tifsira lill-iskadenza qabel tinbena l-ħolqa. Id-deċiżjoni quddiemek hija fejn tqiegħed il-konfini, mhux jekk għandux ikun hemm wieħed.

Iddeċiedi liema mistoqsija twieġeb il-permess

Ibda mir-rekwiżit. Jekk persuna msemmija trid tasal għas-servizz u l-applikazzjoni diġà tawtentika lil dik il-persuna, gateway awtentikat iżomm l-identità fil-punt tal-infurzar u ma jkollux bżonn l-ebda ammissjoni tal-indirizz. Jekk il-mira hija aġent tal-bini, port ta’ qbiż amministrattiv jew apparat li ma jistax jieħu sehem fid-dħul tal-utent, permess tal-indirizz b’ambitu limitat jista’ jkun l-unika kontroll prattiku disponibbli.

L-għażla tal-ammissjoni tal-indirizz għal applikazzjoni li tħares lejn l-utenti ċċaqlaq il-problema vera tal-awtorizzazzjoni x’imkien ieħor, u mbagħad il-portal jiret il-ħtija għal lakuna li qatt ma għalaq.

Illimita t-talba fuq is-server

Il-browser m’għandux jagħżel id-destinazzjoni, il-port jew il-prefiss. Il-portal issolvi s-servizz mir-rekords tiegħu stess u tiċċekkja d-dritt b’test fuq in-naħa tas-server, li huwa l-istess prinċipju li il-gwida tal-awtorizzazzjoni tal-OWASP tapplika għal kull talba. Id-derivazzjoni tal-indirizz tappartjeni wkoll għall-konfini protetti: meta proxy rivers jirrapporta l-indirizz tal-klijent, aċċetta biss il-katina tal-proxy konfigurata u l-immaniġġjar dokumentat tagħha tal-headers. Header tal-ibgħat li jipprovdi żurġien hija affermazzjoni dwar il-provenjenza, mhux prova tagħha.

Imbagħad iċċekkja li l-portal u s-servizz josservaw l-istess sors. Tunnel maqsum, qbiż wieħed ta’ proxy u IPv4 kontra IPv6 jistgħu jagħtu żewġ destinazzjonijiet żewġ indirizzi differenti, għalhekk permess attivat minn triq waħda jista’ ma jkoprix it-talba li jmiss.

Uri l-permess qabel ma tinstallah

Il-ftuħ ta’ ħolqa għandu juri s-servizz propost, is-sors osservat u t-tul, u għadu ma jbiddel xejn. Dak il-pass wieħed ibiddel il-ħolqa mill-email minn azzjoni għal proposta, u jwaqqaf bot tal-preview jew scanner tal-posta milli jagħti aċċess sempliċement billi jiġbed il-ħolqa.

Il-konferma għandha tkun talba li tibdel l-istat bil-ħarsien tas-soltu kontra s-siti maqtugħa u l-oriġini. It-token għandu jkun ta’ użu wieħed u jiġi kkunsmat b’mod atomiku fil-mument li tiġi installata r-regola, u r-rekord għandu jaqbad is-sid, is-servizz, l-indirizz, l-identifikatur tal-permess u l-iskadenza mingħajr qatt ma jirreġistra t-token mhux maħdum.

Il-kunsinna tat-token tistħoqqlha l-istess kura bħar-regola stess. Ħolqa skaduta jew diġà kkunsmata li għadha tipproduċi regola hija tieni bieb imqiegħed bl-istess ċavetta.

L-indirizz huwa maqsum anki waqt li l-permess jgħix

NAT tal-uffiċċju, NAT tal-operatur u ħruġ tal-VPN maqsum kull wieħed iqiegħed bosta persuni wara indirizz wieħed. L-ammissjoni ta’ dak l-indirizz tammetti lil kulħadd warajh — sa fejn jidħol il-konfini li jmiss tas-servizz —, filwaqt li ma tipprovax xejn dwar min għandu l-kont li s-servizz jistenna.

It-tneħħija tar-regola lanqas hija skonnessjoni universali. Konnessjonijiet stabbiliti, tokens tal-applikazzjoni fil-cache u sessjonijiet ta’ ħajja twila jistgħu jgħixu iktar mir-regola b’minuti jew ferm iktar, għalhekk il-ħajja li tagħżel għandha tirrifletti x’jagħmel is-servizz wara l-ammissjoni u mhux biss kemm iddum teżisti r-regola.

Ittestja erba’ każijiet, u ż-żewġ familji tal-indirizzi

Permess huwa tajjeb daqs l-erba’ każijiet li jgħaddi minnhom: talba ġdida permessa, talab mhux approvat, riproduzzjoni tal-istess ħolqa, u l-istess talba wara l-iskadenza.

Imbagħad ittestja kull familja separatament, għax l-indirizz tas-sors li josserva s-servizz jista’ jvarja bejniethom.

dig +short A service.example.com
dig +short AAAA service.example.com
curl -4 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com
curl -6 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com

Ir-riżultat utli hija deċiżjoni ta’ ammissjoni temporanja u verifikabbli taħt awtorizzazzjoni normali tal-utent, minflok ftuħ permanenti li jġorr l-isem ta’ min ikklikkja l-ewwel.