token z pełnym dostępem do wszystkich funkcji

Token z pełnym dostępem do wszystkich funkcji łamie zasadę najmniejszego przywileju.

Czym jest poświadczenie o nieograniczonym zakresie

Token z pełnym dostępem to ciąg znaków, który przy każdym wywołaniu API przedstawia się jako właściciel konta i uzyskuje wszystkie jego uprawnienia naraz — odczyt, zapis, kasowanie, zmianę ustawień, czasem także zarządzanie innymi tokenami. W modelu OAuth 2.0 odpowiada to przyznaniu wszystkich zakresów (scope) zamiast wybranych, w GitHubie klasycznemu tokenowi z zaznaczonym repo i admin:org, w Azure niepotrzebnie szerokiej roli Owner zamiast wąskiej roli danych. Technicznie taki token bywa nieodróżnialny od hasła użytkownika, z jedną istotną różnicą: nie chroni go drugi składnik uwierzytelnienia. Kto przechwyci sam ciąg, wchodzi do systemu bez kodu SMS i bez klucza sprzętowego.

Dlaczego wąski zakres zmienia skalę szkody

Zasada najmniejszego przywileju nie zapobiega wyciekowi, tylko ogranicza jego zasięg. Token uprawniony wyłącznie do odczytu jednego repozytorium po kradzieży pozwala napastnikowi przeczytać ten kod — nieprzyjemne, ale odwracalne. Ten sam wyciek przy tokenie pełnym oznacza skasowanie gałęzi, podmianę zależności w potoku budowania i utworzenie kolejnych poświadczeń, które przetrwają unieważnienie pierwszego. Dobrze zaprojektowane systemy dają też krótki czas życia: token dostępowy ważny godzinę plus token odświeżający trzymany osobno bije nieskończenie ważny klucz, bo kradzież z logów starszych niż doba jest bezużyteczna. Osobne poświadczenie dla każdej integracji ma jeszcze jedną zaletę — po incydencie unieważnia się jedno, a nie zatrzymuje wszystkie usługi firmy.

Gdzie te klucze wyciekają najczęściej

Numerem jeden pozostaje repozytorium kodu: plik .env, appsettings.json albo web.config wrzucone do gita razem z resztą projektu. Usunięcie ich kolejnym commitem nic nie daje, bo poprzednia wersja zostaje w historii i jest wyszukiwalna. Numer dwa to zrzuty ekranu i wklejki wysyłane na czacie przy prośbie o pomoc — token bywa widoczny w pasku adresu albo w nagłówku Authorization na karcie sieci w narzędziach deweloperskich. Numer trzy: kopie zapasowe serwera i eksporty konfiguracji leżące na współdzielonym dysku bez ograniczenia uprawnień. Czwarty przypadek to token wpisany na stałe w kod strony internetowej po stronie przeglądarki, gdzie każdy odwiedzający może go odczytać przez Ctrl+U. Osobna pułapka: klucz wystawiony przez pracownika, który odszedł z firmy, działa dalej, dopóki ktoś świadomie go nie unieważni.

Porządkowanie dostępów w małej firmie

Przeglądamy z klientem listę aktywnych poświadczeń w używanych usługach, zawężamy zakresy, ustawiamy daty wygaśnięcia i przenosimy sekrety z plików tekstowych do menedżera haseł albo magazynu poświadczeń systemu. Przy wdrożeniach Subiekta, WAPRO czy Comarch opartych o SQL Server pilnujemy dodatkowo, żeby aplikacja nie łączyła się z bazą kontem sa — to dokładnie ta sama pomyłka na innym poziomie. Warszawskie Pogotowie Komputerowe obsługuje zarówno pojedyncze stanowiska, jak i całe biura, a rewizję dostępów można przeprowadzić bez przestoju, bo stare i nowe poświadczenie da się przez chwilę utrzymać równolegle.