בניית מערכות מאובטחות ואישור באדריכלות

הבנה של Authentication and Authorization in Distributed Systems

אימות והרשאה יוצרים את עמוד השדרה של כל מערכת מאובטחת, אך יישום שלהם הופך מורכב יותר באופן משמעותי כאשר נעים מאדריכלות מונוליטית לאחד מבוזר. Authentication מאמת את זהות המשתמש - מרגיע הם מי הם טוענים להיות - בעוד אישורים מכתיבים אילו פעולות או משאבים אשר אימות זהות יכול לגשת.

אדריכלות מבוזרת מודרנית - כגון מיקרו-שירותים, פונקציות ללא שרת, פריסות קצה - דרישות אימות ומנגנוני אישור כי הם גם מדרגים וגם גמישים. מאמר זה חוקר את המושגים המרכזיים, האתגרים, ואת האסטרטגיות המעשיות לבניית מערכות אוויריות מאובטחות, עם דגש מיוחד על איך כלים כמו FLT:0DirectusFal Reduction:1 יכול לפשט את התהליך תוך שמירה על אבטחת הדירוג של הארגון.

אתגרים מרכזיים של Authentication and Authorization in Distributed Architectures

מערכות מבוזרות מציגות מכשולים ביטחוניים ייחודיים, אשר פחות בולטים ביישומים מונוליטיים.הכרה באתגרים אלה היא הצעד הראשון לבניית פתרון חזק.

התקפת ה-Fed Over

כל שירות, שער API ומיקרו-שירות חושפים נקודת מוצא.עם שירותים עצמאיים מרובים מתקשרים על רשתות, מספר וקטורים פוטנציאליים של התקפה מתכפל. תוקף יכול להתפשר על שירות אחד ולהשתמש בו כאבן מזרז לאחרים אם אימות אינו מבודד כראוי.

מדיניות אבטחה עקבית בכל השירותים

אחסון נתונים מבוזר וערימות טכנולוגיות שונות מקשים לאכוף כללי אבטחה אחידים.שירות אחד יכול להשתמש JWTs עבור אימות בעוד אחר מסתמך על עוגיות הפעלה.ללא מנוע מדיניות מרכזי, אי-קו-יציבות יכול להוביל קישורים חלשים כי התוקפים מנצלים.

ניהול ken Management ב- Scale

ניהול מפגשים של משתמשים בעשרות שירותים הוא מאתגר. אסימונים חסרי מדינה כמו JWTs פופולריים כי הם מבטלים אחסון של ישיבה בצד השרת, אבל הם גם מציגים בעיות כמו ייעוד אסימונים, סיבוב, ו- Expiry. במערכת מבוזרת, גישה מחדש למשתמש שנפגע דורש הפצת מידע למילוי מחדש לכל השירותים - בעיה לא טריוויאלית.

שקיפות וביצועים Overhead

כל אימות ובדיקת אישור מוסיף שקיפות.במונולית, בדיקת יחיד בזיכרון היא מהירה. במערכת מבוזרת, אסימוניות עשויים להיות מאומתים על ידי שירות זהות מרכזי או באמצעות חתימה קריפטוגרפית, אשר יכול להאט את בקשות. Balancing אבטחה עם ביצועים הוא שיקול קבוע.

פרוטוקולים וסטנדרטים

לפני צלילה לפרטים ביישום, חשוב להבין את הפרוטוקולים המאומצים ביותר המאפשרים יצירת אוויר בטוחה במערכות מבוזרות.

JSON Web Tokens (JWT)

JWTs הם אסימונים קומפקטיים, כתובת URL-בטוחים המכילים את JSON payloads.הם מכילים עצמיים - כלומר את הסימון עצמו נושא את זהות המשתמש ותביעות, ולכן שירותים לא צריכים לשאול מסד נתונים על כל בקשה. JWTs ניתן לחתום באמצעות HMAC או Aסימטרי RSA/EC הצפנה כדי להבטיח שלמות.

אווותר 2.0

OAuth 2.0 הוא מסגרת אישור המאפשרת יישומים של צד שלישי לקבל גישה מוגבלת למשאבים של המשתמש מבלי לחשוף את האישורים של המשתמש.זה עובד על ידי ניתוק אישור לשרת אישור ייעודי, אשר נושאים גישה אסימונים. באדריכלות מבוזרת, OAuth 2.0 הוא לעתים קרובות יחד עם OpenID Connect (OIDC) עבור אימות.OIDC מוסיף שכבת זהות על גבי קונסולת Oth של מערכות זהות מודרנית של OSIX (בדרך כלל) עבור מערכות זהות (בדרך כלל AST) עבור מערכות זהות מודרנית עבור מערכות זהות (OST) עבור אימות (OST) עבור מערכות זהות (OSTS) עבור אימות (OST) עבור מערכות זיהוי משתמש (OST של JSOS) עבור מערכות זיהוי משתמש (בדרך כלל) עבור מערכות זהות (ODUS) עבור אימות.

אבטחה אנגלית Markup Language (SAML)

בעוד מבוגר יותר מ OAuth, SAML נשאר נפוץ בסביבות הארגון, במיוחד עבור שילוב עם מערכות מורשת. SAML משתמשת בהצהרות מבוססות XML ובדרך כלל מסתמכת על ספק השירות תוך מתן הבקשה להפצת מערכות מבוזרות ב-OAuth 2.0/OIDC הוא בדרך כלל מועדף בשל משקלו הקל יותר ותמיכה טובה יותר עבור ארכיטקטורות מובייל ו- API.

אסטרטגיות להבטחת בטיחות

בחירת האסטרטגיה הנכונה של אימות תלויה בצרכים הספציפיים של המערכת שלך, כגון מספר השירותים, הרגישות של נתונים, ואת דרישות חוויית המשתמש.

Token מבוסס Token Authentication with JWTs

באמצעות JWTs היא הגישה הנפוצה ביותר עבור אימות ללא תנאי במערכות מבוזרות.כל שירות יכול לאמת את החתימה של אסיקן באופן עצמאי - מבלי לחזור לשרת מרכזי - אם הם חולקים את אותו מפתח ציבורי (בחתימה אסימטרית) זה מקטין את נסיעות עגולות רשת ומשפר את יכולת הסקאלה.לדוגמה, Directus משתמש JWTs כברירת מחדל עבור אימות, ומאפשר ביישומי קדמית כדי לאמת משתמשים ולהגיע לשירותים אותנטיים כדי להעביר את האישורים כדי להחזיר את השירותים.

OAuth 2.0 ו- OpenID Connect (OIDC)

עבור מערכות שצריכים לתמוך ב- צד שלישי כניסה, סימן חברתי או פדרציה על פני ספקי זהות מרובים (IdPs), OAuth 2.0 עם OIDC הוא תקן התעשייה. שרת האישור (למשל, Directus, Auth0, Keycloak) בעיות אסימונים לאחר אימות של השירות.

Multi-factor Authentication (MFA)

MFA מפחית באופן משמעותי את הסיכון של פשרה על ידי דרישה של שני גורמים או יותר: משהו שאתה יודע (סיסמה), משהו שיש לך (טלפון או מפתח חומרה), או משהו שאתה (ביומטריים) במערכות מבוזרות, MFA צריך להיות מאויש ברמה ספקית זהות, עם הסימון כי MFA בוצעה.שירותים יכול לבדוק את 'mam' של אסימונים (התגובה) אם לא הייתה שימוש באמצעים של MFA.

מוטו ללא תשלום ו-FIDO2/WebAuthn

אימות סיסמה הוא צובר מתחודד כחלופה בטוחה וידידותית למשתמש. WebAuthn, רכיב ליבה של תקן FIDO2, מאפשר למשתמשים לאמת עם biometrics או מפתחות אבטחה חומרה באמצעות הצפנה ציבורית-key.המפתח הפרטי לעולם לא עוזב את המכשיר של המשתמש, תוך חיסול הסיכון של גניבה מחוספסת בשרתים.

יישום אישורים יפים-Graving

ברגע שמשתמשים יוותרו, האישור קובע בדיוק מה הם יכולים לעשות. במערכות מבוזרות, יש לבצע החלטות אישור במהירות ובעקביות על פני גבולות השירות.

בקרת גישה מבוססת-תפקיד (RBAC)

RBAC מקצה הרשאות המבוססות על תפקידו של המשתמש (למשל, מנהל, עורך, צופה) זהו המודל הפשוט ביותר ועובד היטב כאשר התפקידים הם סטטיים.עם זאת, בסביבות מבוזרות מורכבות, תפקידים יכולים להיות רחבים מדי או רבים מדי, המוביל ל"פיצוץ מוחלט" Directus מציע מערכת RBAC גמישה שבה ניתן ליצור תפקידים לפרויקט ורשאות שנקבעו עבור כל שדה איסוף, פעולה אלה מאוחסנים על ידי מסד נתונים ישירות והערכה.

בקרת גישה מבוססת-על (ABAC)

ABAC משתמשת במדיניות המעריכה תכונות של המשתמש, משאבים, פעולה וסביבה (למשל, זמן של יום, מיקום) זה מספק שליטה גרפית מאוד.לדוגמה, מדיניות יכולה לאפשר "לערוך מסמכים רק אם המשתמש נמצא במחלקה "ניהול" והמסמכים נמצאים במעמד "Dretre" ובקשה מגיעה מהרשת הארגונית".

רשימת בקרת גישה (ACL) ו- Permissions

עבור מערכות שבהן משתמשים בודדים או קבוצות זקוקים להרשאה ייחודית עבור משאבים ספציפיים, ACLs מציעים מיפוי ישיר. ACLs ניתן לאחסן לצד המשאב עצמו או במסד נתונים מרכזי. בעוד פשוט להבין, ACLs יכול להיות מכומר כדי לנהל מספר גדול של משאבים ומשתמשים.

עקרון ה"Least Privilege"

ללא קשר למודל שתבחר, תמיד לדבוק בעיקרון של זכויות יתר. משתמשים ושירותים צריך להיות מוענק רק את הרשאות שהם צריכים לבצע את תפקידם. Review ואישורי ביקורת באופן קבוע. במערכות מבוזרות, תקשורת שירות-לשירות צריך גם בקרה הדוקה - שירות אחורי לא צריך להיות מסוגל לגשת לנתונים של משתמשים אלא אם יש לו צורך ספציפי.

יישום מעשי עם Directus

(FLT:0)DirectusveFLT:1) הוא קוד פתוח backend-as-a-Service (Baa-Service) המספק סט שלם של אימות ותכונות אישור מחוץ ל-Crebox. ניתן להשתמש בו כשכבה מרכזית Identity וניהול גישה לארכיטקטורה מבוזרת, במיוחד בשילוב עם מיקרו-שירותים שצורכים את ה-GearphQL או GraphQL.

ספקי אימות בDirectus

Directus תומך במנגנוני אימות מרובים:

• (FLT:0) אימות מקומי: איורFLT:1 משתמשים יכולים להירשם ולהירשם באמצעות דוא"ל וסיסמה.
• (FLT:0)OAuth 2.0 / SSO:FearLT:1) Directus יכול לפעול כלקוח OAuth 2.0 כדי לאמת נגד ספקים חיצוניים (Google, GitHub, Okta, Azure AD וכו ') הוא גם תומך להיות שרת OAuth 2.0 עצמו (דרך Directus SSO) לפעול כספק זהות עבור השירותים שלך.
• (ב) ⁇ :0WebAuthn / FIDO2:03FLT:1; כניסה ללא סיסמה עם מפתחות אבטחה חומרה או ביומטריות.
• (FLT:0) Tokens:FLT:1eur for Server-to-server Communications, Directus מציע אסימוני API סטטיים ו-JWT דינמיים שניתן יהיה להיקףם לרשאות ספציפיות.
• (FLT:0) LDAP / Active Directory:FLT:1אינטגרציה עם שירותי ניהול ארגוניים.

Directus מטפל בקידוד אסימונים, רענון וביטול.כאשר משתמש נכנס, הם מקבלים אסימונים גישה (JWT) וסימון רענון.הלאון הגישה יש תוחלת חיים קצרה (default 15 דקות) בעוד הסימון הרענון נמשך יותר (7 ימים לאחר ברירת מחדל) וניתן להשתמש בו כדי להשיג גישה חדשה ללא תיקון מחדש.

אישורים והודעות בDirectus

Directus מספק מערכת הרשאות עשירה המשלבת RBAC עם תנאים דינמיים.You יכול להגדיר תפקידים ולאחר מכן להגדיר הרשאות לאיסוף (קריאה, יצירת, עדכון, למחוק) עם מגבלות ברמת שדה אופציונלית. Permissions יכול לכלול גם מסננים באמצעות משתנים כגון "CURS USER", "CUR ROLE", או אפילו תנאי תאריך.לדוגמה, אתה יכול ליצור הרשאות המשתמש מאפשר להודעות שאינן כתובות של משתמשים אחרים.

Directus תומך גם אימות הרשאות מותאם אישית באמצעות קובצים.אם אתה צריך לבצע בדיקת אישור שאינו מכוסה על ידי מערכת בנוי-אין - כגון בדיקת שירות חיצוני או הערכה של כלל עסקי - באפשרותך לכתוב תסריט מותאם אישית (באמצעות JavaScript או TypeScript) שפועל לפני או לאחר כל ניתוח API.

עקבו אחרי Microservices

באדריכלות מבוזרת, Directus יכול לשמש כקמרון האישור.מיקרו-שירותים אחרים יכולים לאמת אסימונים על ידי קריאה ל-'משתמשי/ה' של Directus/me' של Directus או על ידי אימות הצפנה באופן גרף של ה-JWT באמצעות מפתח הציבורי של Directus. for service-to-Services-to-Services, Directus תומך ב-AP Ikens שלא קשורים למשתמש, ומאפשר שירותים אמינים לשימוש ישיר ב-Omaticus.

הרדיפת Authentication and Authorization

לא משנה אילו כלים ופרוטוקולים תבחר, ישנם מספר שיטות אבטחה שיש ליישם בכל מערכת מבוזרת ייצור.

שימוש בערוצי תקשורת מוצפנים

כל התקשורת בין לקוחות, שירותים, שרת האימות צריכה להיות מוצפנת באמצעות TLS 1.2 ומעלה.זה מונע ליירוט אסימונים והתקפות של האדם-ב-ב-המידיה.תמיד לאכוף HTTPS בשער ה-AP או מאזן עומס.

ניהול מאובטח

בצד הלקוח, לאחסן אסימונים גישה מאובטח. עבור יישומים מבוססי דפדפן, להשתמש ב- Htp רק עוגיות עם דגלי "סודיות" ו-"SameSite" כדי למנוע התקפות XSS. עבור יישומים ניידים ושולחן שולחניים, להשתמש באחסון מאובטח של הפלטפורמה (למשל, iOS Keychain, Android Keybox). להימנע מאחסן אסימטור מקומי אלא אם כן הכרחי, כפי שהם נגישים לחלוטין ל- JavaScript.

Token Revocation and Rotation

תוכנית לחזרה לסימון. קיצור של Access אסימונים ממזערת את חלון הפשרות.אם יש צורך בביטול מיידי, לשמור על רשימת בלוקים של תעודות זהות לא מבוטלות. Directus באופן אוטומטי לא חוקי דיונון לאחר השימוש (גזר) ומספק API כדי לבטל את כל המפגשים של משתמש.בנוסף, ליישם מערכת כדי לכפות משתמשים לאחר אירוע אבטחה, כגון שינוי סיסמה.

הגבלת כוח והגנת הכוח

נקודות סיום Authentication הן מטרות עיקריות להתקפות כוח רוטט.הקצב הקובעות את נקודות הכניסה והרישום. Directus כולל קצב בנייה של ניסיונות כניסה - לאחר כמה ניסיונות כושלים, חשבון המשתמש נעול באופן זמני. הגנה מתקדמת יותר ניתן להשיג עם Proxy הפוכה באמצעות כלים כמו Nginx, Cloudflare או שער API.

אינטגרציה ו- Monitoring

מרכזיזציה של יומני מכל השירותים כדי לזהות דפוסים של אימותים אטומיים. Log מוצלח ונכשל בניסיונות כניסה, לציין אירועים רענון, והכחשה הרשאות. השתמש במערכת SIEM (למשל, Wazuh, ELK) כדי לתאם אירועים על פני שירותים. להגדיר התראות עבור מספר גבוה של ניסיונות כושלים או פריבילגיים שבוצעו בזמנים יוצאי דופן.

ביקורת אבטחה רגילה ועדכונים

שמור על כל התלויים והשירותים עד כה. Libraries כמו JWT, bcrypt, ו Directus עצמו מקבל תיקונים אבטחה. השתמש בכלים סריקה אוטומטיים (למשל, תלוי, Snyk) כדי לזהות פרצות ידועות.

מלכודות נפוצות וכיצד להימנע מהם

גם עם שיטות העבודה הטובות ביותר, קבוצות לעתים קרובות לעשות טעויות.כאן כמה מכשולים נפוצים באימות מבוזר והרשאה:

אמון ב- Tokens ללא אימות

כל שירות חייב לאמת אסימונים באופן עצמאי - לעולם אל תניח כי הוא בתוקף רק משום שהוא בא מרשת פנימית. בצע אימות חתימה, לבדוק את תפוגה, ולוודא כי הסימון לא בוטל.בסביבות מיקרו-שירותים, לשקול שימוש ב- Sidecar או שירות mesh (למשל, Istio, Linkerd) כדי לטעון לאימות.

תפקידים נוספים של Default Roles

טעות נפוצה מאפשרת תפקידים ביישניים יותר כמו "משתמש אותנטי" כברירת מחדל.תמיד לעקוב אחר העיקרון של זכות מינימלית.התחל ללא הרשאות ולהוסיף רק מה נדרש. Directus מאפשר לך להגדיר הרשאות ברירת מחדל לתפקיד הציבורי ותפקיד אותנטי, כך להיזהר להגביל את אלה.

התעלמות מאבטחת חשבון שירות

אימות שירות-לשירות מוזנח לעתים קרובות.אל תשתמש ב אסימוני API סטטיים ארוכים לכל השירותים.במקום, ליישם מערכת שבה שירותים יכולים לבקש אסימוני זמן קצרים מספק זהות (כמו Directus) באמצעות אישורי לקוחות. רוטט את הסימון באופן קבוע.

טעות חמורה ב- Auth Flows

חשיפת מידע רב מדי בהודעות שגיאה יכולה לסייע לתוקפים.לדוגמה, החזרת "משתמש לא נמצא" לעומת "סיסמה לא חוקית" מאפשרת שימוש במסרים גנריים כמו "אישורים לא חוקיים" ולתאם את פרטי השרת.

מקרה השימוש האמיתי בעולם: A Distributed E-Commerce Platform

שקול פלטפורמה מסחר אלקטרוני שנבנה עם ארכיטקטורת microservices.יש שירותים נפרדים עבור קטלוג מוצרים, עגלת קניות, ניהול הזמנה, עיבוד תשלום ופרופילי משתמשים.כל שירות צריך לאמת את המשתמש ולהסמיך פעולות.

הנה איך אפשר לבנות מערכת בטוחה:

• ניהול נאמנות:0 (FLT:1ir) השתמש בDirectus כספק הזהות המרכזי.הוא מאחסן חשבונות משתמשים, מטפל ברישום ומספק SSO באמצעות Google ופייסבוק.
• (FLT:0) Token Issuance: 1FLT כאשר משתמש נכנס, Directus נושאים JWT המכיל את מזהה המשתמש, תפקיד ומעמד MFA.הגישה לסימון היא קצרת מועד (15 דקות) טון רענון עם תוחלת חיים ארוכה יותר מאוחסן בקובץ Htp בלבד.
• (ב) שירות Authentication: FLT:1 כל מיקרו-שירות מאמת את JWT באמצעות מפתח הציבורי של Directus.הם לא צריכים להתקשר ישירות לכל בקשה, אשר שומרת על שקיפות נמוכה.
• (FLT:0)Authorization: FLT:1 שירות קטלוג המוצר מאפשר לקרוא גישה לכל המשתמשים האותנטיות.שירות ההזמנה דורש תפקיד "מנהל" או "מתמוך" להציג את כל ההזמנות; משתמשים רגילים יכולים רק לראות פקודות משלהם (על ידי מסנן ההשוואה בין "CUR US" $ עם שדה המשתמש של ההזמנה).
• שירות השירות:0 (FLT:1), שירות התשלום מתקשר עם שירות ההזמנה באמצעות אסימוני API של Directus שיש לו הרשאות מוגבלות - הוא יכול רק ליצור ולעדכן פקודות, לא לקרוא פרופילים של משתמשים.
• (ב) ,0) ממורמרים: 1FLT:1 כל ניסיונות אימות מתפרסם לערערמת אל-ק מרכזי.התראות נקבעות עבור מספר כניסות כושלות מאותו IP.

הגדרה זו מספקת שקיפות, נמוכה, ושכבה אימות והרשאה בטוחה שעובדת בכל השירותים.

מסקנה

בניית מערכות אימות ואישור מאובטחות באדריכלות מבוזרת אינה רצויה, אך על ידי הבנת הפרוטוקולים, מינוף כלים חזקים כמו Directus, יישום שיטות אבטחה הטובות ביותר, אתה יכול ליצור מערכת שהיא גם מדרגת וגם גמישה. להתמקד במנגנונים אסימונים חסרי מדינה, לאמץ Oth 2.0/OIDC עבור פדרציה, לאכוף את הזכות הנמוכה, ולעקוב אחר כל דבר זהיר עם עיצוב ושיפור מתמשך, אתה יכול להגן על המערכת המודרנית שלך תוך מתן בעיות משתמש מבוזרות.

לקריאה נוספת, לחקור את ה-FLT:0 (הכוללת תיעוד של סימולציות) ואת הרשמי של ה-FLT:2Oth 2.0 ספציפיationFLT 3: For JWT Best Practice, מתייחס ל-FLT:4JWT.ioph:5.