Viungo vya muda vya orodha ya IP zinazoruhusiwa: ruhusa inaruhusu nini hasa

Kubadilisha mbofyo mmoja kuwa kanuni ya muda ya firewall ni rahisi, na pia hujenga mfumo wa idhini unaoamua nani anaweza kufikia huduma. Unatoa anwani badala ya mtu, na tofauti hiyo ni muhimu wakati watu wawili wanashiriki NAT moja. Punguza wigo wa ruhusa, ithibitishe kwa makusudi, na ipe kuisha muda maana kabla kiungo kijengwe. Uamuzi ulio mbele yako ni wapi kuweka mpaka, si kama mpaka unapaswa kuwepo.

Amua ruhusa inajibu swali gani

Anza na hitaji. Ikiwa mtu aliyetajwa lazima afikie huduma na programu tayari inamthibitisha mtu huyo, lango lililothibitishwa huweka utambulisho kwenye sehemu ya utekelezaji na halihitaji kabisa kukubali anwani. Ikiwa lengo ni wakala wa kujenga, mlango wa kuruka wa kiutawala au kifaa ambacho hakiwezi kushiriki katika kuingia kwa mtumiaji, ruhusa ya anwani yenye wigo mdogo inaweza kuwa udhibiti pekee wa vitendo unaopatikana.

Kuchagua kukubali kwa anwani kwa programu inayowaelekea watumiaji huhamisha tatizo halisi la idhini mahali pengine, na lango hurithi lawama kwa pengo ambalo halikuwahi kufunga.

Punguza ombi kwenye seva

Kivinjari hakipaswi kuchagua marudio, mlango au kiambishi awali. Lango hutatua huduma kutoka kwa rekodi zake mwenyewe na hukagua haki kwa jaribio la upande wa seva, ambayo ni kanuni ile ile ambayo mwongozo wa idhini wa OWASP huitekeleza kwa kila ombi. Utoaji wa anwani pia ni sehemu ya mpaka uliolindwa: wakala wa nyuma anaporipoti anwani ya mteja, kubali tu mnyororo wa mawakala uliosanidiwa na utunzaji wake wa vichwa ulioandikwa. Kichwa cha upelekaji kinachotolewa na mgeni ni madai kuhusu asili, si ushahidi wake.

Kisha angalia kwamba lango na huduma zinaona chanzo kimoja. Handaki zilizogawanywa, kuruka moja kwa wakala na IPv4 dhidi ya IPv6 zinaweza kuwapa marudio mawili anwani mbili tofauti, kwa hiyo ruhusa iliyoamilishwa kwa njia moja inaweza isifunike ombi linalofuata.

Onyesha ruhusa kabla ya kuisakinisha

Kufungua kiungo kunapaswa kuonyesha huduma inayopendekezwa, chanzo kilichozingatiwa na muda, na bado kisibadilishe chochote. Hatua hiyo moja hubadilisha kiungo cha barua pepe kutoka kitendo hadi pendekezo, na huzuia boti ya kihakikisho au kichanganuzi cha barua kutoa ufikiaji kwa kuichukua tu.

Uthibitisho unapaswa kuwa ombi linalobadilisha hali likiwa na ulinzi wa kawaida wa tovuti mtambuka na asili. Tokeni inapaswa kuwa ya matumizi moja na itumike kwa atomiki wakati kanuni inasakinishwa, na rekodi inapaswa kunasa mmiliki, huduma, anwani, kitambulisho cha ruhusa na kuisha muda bila kamwe kurekodi tokeni ghafi.

Uwasilishaji wa tokeni unastahili uangalifu sawa na kanuni yenyewe. Kiungo kilichoisha muda au kilichotumika tayari ambacho bado kinazalisha kanuni ni mlango wa pili uliowekwa kwa ufunguo ule ule.

Anwani inashirikiwa hata wakati ruhusa iko hai

NAT ya ofisi, NAT ya mtoa huduma na njia ya kutoka ya VPN inayoshirikiwa kila moja huweka watu kadhaa nyuma ya anwani moja. Kukubali anwani hiyo hukubali kila aliye nyuma yake — kwa kadiri inavyohusu mpaka unaofuata wa huduma —, huku hakithibitishi chochote kuhusu nani anamiliki akaunti ambayo huduma inatarajia.

Kuondoa kanuni pia si kukatisha muunganisho kwa wote. Miunganisho iliyoanzishwa, tokeni za programu zilizohifadhiwa na vipindi vya muda mrefu vinaweza kuishi zaidi ya kanuni kwa dakika au kwa muda mrefu zaidi, kwa hiyo maisha unayochagua yanapaswa kuakisi kile huduma inafanya baada ya kukubaliwa, sio tu muda ambao kanuni ipo.

Jaribu hali nne, na familia zote mbili za anwani

Ruhusa ni nzuri kadiri hali nne inazovumilia: ombi jipya lililoruhusiwa, mwombaji asiyekubaliwa, kurudia kiungo kile kile, na ombi lile lile baada ya kuisha muda.

Kisha jaribu kila familia kwa mbali, kwa sababu anwani ya chanzo ambayo huduma huizingatia inaweza kutofautiana kati yao.

dig +short A service.example.com
dig +short AAAA service.example.com
curl -4 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com
curl -6 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com

Matokeo yenye manufaa ni uamuzi wa kukubali wa muda unaoweza kukaguliwa chini ya idhini ya kawaida ya mtumiaji, sio ufunguzi wa kudumu unaobeba jina la aliyebofya kwanza.