தற்காலிக IP அனுமதிப் பட்டியல் இணைப்புகள்: அனுமதி உண்மையில் எதை அனுமதிக்கிறது

ஒரு கிளிக்கைத் தற்காலிக ஃபயர்வால் விதியாக மாற்றுவது வசதியானது, அதே வேளையில் யார் ஒரு சேவையை அடையலாம் என்பதைத் தீர்மானிக்கும் அனுமதி அமைப்பையும் கட்டுகிறது. அது வெளியிடுவது ஒரு நபரை அல்ல, ஒரு முகவரியை, அந்த வேறுபாடு இருவர் ஒரே NAT-ஐப் பகிரும் தருணத்திலிருந்து முக்கியமாகிறது. அனுமதியின் வரம்பைக் கட்டுப்படுத்துங்கள், அதை வேண்டுமென்றே உறுதிப்படுத்துங்கள், இணைப்பு கட்டப்படுவதற்கு முன் காலாவதிக்கு அர்த்தம் கொடுங்கள். உங்கள் முன் உள்ள முடிவு எல்லையை எங்கு வைப்பது என்பதே, எல்லை இருக்க வேண்டுமா என்பது அல்ல.

அனுமதி எந்தக் கேள்விக்குப் பதிலளிக்கிறது என்பதை முடிவு செய்யுங்கள்

தேவையிலிருந்து தொடங்குங்கள். பெயரிடப்பட்ட ஒரு நபர் சேவையை அடைய வேண்டும் என்றால், பயன்பாடு ஏற்கனவே அந்த நபரை அங்கீகரிக்கிறது என்றால், அங்கீகரிக்கப்பட்ட நுழைவாயில் அடையாளத்தைச் செயல்படுத்தும் இடத்திலேயே வைத்திருக்கும், முகவரி ஏற்புக்கு எந்தத் தேவையும் இல்லை. இலக்கு ஒரு கட்டுமான முகவர், நிர்வாக ஜம்ப் துறைமுகம் அல்லது பயனர் உள்நுழைவில் பங்கேற்க முடியாத சாதனம் என்றால், வரம்புடைய முகவரி அனுமதியே கிடைக்கும் ஒரே நடைமுறைக் கட்டுப்பாடாக இருக்கலாம்.

பயனர் நோக்கிய பயன்பாட்டிற்கு முகவரி ஏற்பைத் தேர்ந்தெடுப்பது உண்மையான அனுமதிப் பிரச்சினையை வேறெங்கோ நகர்த்துகிறது, பின்னர் நுழைவாயில் தான் ஒருபோதும் மூடாத இடைவெளிக்கான குற்றத்தை வாரிசாகப் பெறுகிறது.

சேவையகத்தில் கோரிக்கையை வரம்பிடுங்கள்

உலாவி இலக்கு, துறைமுகம் அல்லது முன்னொட்டைத் தேர்ந்தெடுக்கக் கூடாது. நுழைவாயில் தனது சொந்தப் பதிவுகளிலிருந்து சேவையைத் தீர்மானிக்கிறது, சேவையகப் பக்கச் சோதனையால் உரிமையைச் சரிபார்க்கிறது, இது OWASP இன் அனுமதி வழிகாட்டி ஒவ்வொரு கோரிக்கைக்கும் பயன்படுத்தும் அதே கொள்கையாகும். முகவரி வழிப்பிறப்பும் பாதுகாக்கப்பட்ட எல்லைக்கு உரியது: தலைகீழ் ப்ராக்ஸி வாடிக்கையாளர் முகவரியைத் தெரிவிக்கும்போது, கட்டமைக்கப்பட்ட ப்ராக்ஸிச் சங்கிலியையும் அதன் ஆவணப்படுத்தப்பட்ட தலைப்பு கையாளுதலையும் மட்டுமே ஏற்றுக்கொள்ளுங்கள். பார்வையாளர் வழங்கும் அனுப்புதல் தலைப்பு மூலத்தைப் பற்றிய கூற்று, அதன் சான்று அல்ல.

பின்னர் நுழைவாயிலும் சேவையும் ஒரே மூலத்தைப் பார்க்கின்றனவா எனச் சரிபாருங்கள். பிரிக்கப்பட்ட சுரங்கப்பாதை, ஒரு ப்ராக்ஸி தாவல் மற்றும் IPv4 மற்றும் IPv6 ஆகியவை இரு இலக்குகளுக்கு இரு வேறு முகவரிகளைத் தரலாம், எனவே ஒரு பாதையிலிருந்து செயல்படுத்தப்பட்ட அனுமதி அடுத்த கோரிக்கையை மூடாமல் போகலாம்.

நிறுவுவதற்கு முன் அனுமதியைக் காட்டுங்கள்

ஒரு இணைப்பைத் திறப்பது முன்மொழியப்பட்ட சேவை, கவனிக்கப்பட்ட மூலம் மற்றும் கால அளவைக் காட்ட வேண்டும், இன்னும் எதையும் மாற்றக்கூடாது. அந்த ஒரே படி மின்னஞ்சல் இணைப்பைச் செயலிலிருந்து முன்மொழிவாக மாற்றுகிறது, மேலும் முன்னோட்ட போட் அல்லது அஞ்சல் ஸ்கேனர் அதை வெறுமனே பெறுவதன் மூலம் அணுகல் வழங்குவதைத் தடுக்கிறது.

உறுதிப்படுத்தல் வழக்கமான குறுக்கு தளம் மற்றும் மூல பாதுகாப்புகளுடன் நிலையை மாற்றும் கோரிக்கையாக இருக்க வேண்டும். டோக்கன் ஒரு முறை மட்டுமே பயன்படுத்தக்கூடியதாக இருக்க வேண்டும், விதி நிறுவப்படும் தருணத்திலேயே அணுவாகச் செலவாக வேண்டும், பதிவு உரிமையாளர், சேவை, முகவரி, அனுமதி அடையாளங்காட்டி மற்றும் காலாவதியை ஒருபோதும் மூல டோக்கனைப் பதிவு செய்யாமல் பதிவு செய்ய வேண்டும்.

டோக்கனை வழங்குவதற்கு விதிக்கே உள்ள அதே கவனம் தேவை. காலாவதியான அல்லது ஏற்கனவே செலவழிக்கப்பட்ட இணைப்பு இன்னும் விதியை உருவாக்கினால், அது அதே சாவியால் பொருத்தப்பட்ட இரண்டாவது கதவு.

அனுமதி உயிருடன் இருக்கும்போதும் முகவரி பகிரப்படுகிறது

அலுவலக NAT, இயக்குநர் NAT மற்றும் பகிரப்பட்ட VPN வெளியேற்றம் ஒவ்வொன்றும் பலரை ஒரு முகவரிக்குப் பின்னால் வைக்கிறது. அந்த முகவரியை அனுமதிப்பது அதன் பின்னால் உள்ள அனைவரையும் அனுமதிப்பதாகும் — சேவையின் அடுத்த எல்லை வரை —, அதே நேரத்தில் சேவை எதிர்பார்க்கும் கணக்கு யாரிடம் உள்ளது என்பதை எதுவும் நிரூபிக்கவில்லை.

விதியை அகற்றுவதும் உலகளாவிய துண்டிப்பு அல்ல. நிறுவப்பட்ட இணைப்புகள், தற்காலிகச் சேமிப்பில் உள்ள பயன்பாட்டு டோக்கன்கள் மற்றும் நீண்டகால அமர்வுகள் விதியை நிமிடங்கள் அல்லது மிக அதிக நேரம் தாண்டி வாழலாம், எனவே நீங்கள் தேர்ந்தெடுக்கும் ஆயுள் விதி எவ்வளவு காலம் உள்ளது என்பதை மட்டுமல்ல, அனுமதிக்குப் பிறகு சேவை என்ன செய்கிறது என்பதையும் பிரதிபலிக்க வேண்டும்.

நான்கு நிகழ்வுகளையும் இரு முகவரி குடும்பங்களையும் சோதியுங்கள்

ஒரு அனுமதி அது தாங்கும் நான்கு நிகழ்வுகள் அளவுக்கே நல்லது: புதிதாக அனுமதிக்கப்பட்ட கோரிக்கை, அனுமதிக்கப்படாத கோரிக்கையாளர், அதே இணைப்பின் மீள இயக்கம், மற்றும் காலாவதிக்குப் பிறகு அதே கோரிக்கை.

பின்னர் ஒவ்வொரு குடும்பத்தையும் தனித்தனியாகச் சோதியுங்கள், ஏனெனில் சேவை கவனிக்கும் மூல முகவரி அவற்றுக்கிடையே வேறுபடலாம்.

dig +short A service.example.com
dig +short AAAA service.example.com
curl -4 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com
curl -6 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com

பயனுள்ள முடிவு சாதாரண பயனர் அனுமதியின் கீழ் உள்ள தற்காலிக, தணிக்கை செய்யக்கூடிய அனுமதி முடிவே, முதலில் கிளிக் செய்தவரின் பெயரைச் சுமக்கும் நிரந்தரத் திறப்பு அல்ல.