token zapisany w pliku konfiguracyjnym bez zabezpieczeń

Token zapisany w pliku konfiguracyjnym bez zabezpieczeń naraża go na odczyt przez każdego z dostępem do systemu plików.

Co oznacza token zapisany bez zabezpieczeń

Token jest ciągiem znaków używanym przez program do potwierdzenia uprawnień podczas komunikacji z inną usługą, aplikacją albo interfejsem programistycznym. Może pełnić funkcję poświadczenia podobną do hasła: posiadanie tokenu często wystarcza do wykonania określonych operacji bez ponownego podawania nazwy użytkownika i hasła. Token zapisany w pliku konfiguracyjnym bez odpowiednich zabezpieczeń znajduje się w miejscu, które może być dostępne dla użytkowników systemu, innych procesów, kopii zapasowych albo narzędzi diagnostycznych.

Niebezpieczeństwo nie wynika wyłącznie z tego, że plik jest czytelny w edytorze tekstu. Ryzyko zależy również od uprawnień nadanych plikowi i katalogowi, sposobu uruchamiania programu, ochrony kont użytkowników oraz tego, czy konfiguracja jest kopiowana do repozytorium, archiwum lub logów. Jeżeli token ma uprawnienia do odczytu danych, wysyłania żądań lub modyfikowania zasobów, osoba albo proces, który go odczyta, może wykorzystać te uprawnienia do czasu wygaśnięcia tokenu lub jego unieważnienia.

Gdzie może ujawnić się poświadczenie z konfiguracji

Token może zostać odczytany przez konto mające uprawnienia do pliku, przez administratora systemu, przez złośliwe oprogramowanie działające w kontekście użytkownika albo przez proces uruchomiony z szerszymi uprawnieniami. W systemach wieloużytkownikowych szczególne znaczenie mają prawa odczytu pliku, dziedziczenie uprawnień z katalogu oraz możliwość przeglądania kopii konfiguracji. Samo ukrycie pliku, zmiana jego nazwy albo zapisanie tokenu w jednej długiej linii nie stanowi zabezpieczenia kryptograficznego.

Ujawnienie może nastąpić także poza bieżącym systemem plików. Plik konfiguracyjny bywa dołączany do kopii zapasowych, obrazów dysków, paczek instalacyjnych, zgłoszeń serwisowych lub repozytoriów kodu. Token może trafić do historii zmian nawet po późniejszym usunięciu go z aktualnej wersji pliku. Dodatkowym problemem jest przypadkowe wypisanie pełnej konfiguracji w komunikacie diagnostycznym. Dlatego przy analizie incydentu trzeba sprawdzić nie tylko bieżący plik, lecz także jego kopie, historię zmian, logi i miejsca, do których konfiguracja była eksportowana.

Ograniczanie skutków i prawidłowa zmiana konfiguracji

Podstawowym działaniem po stwierdzeniu ujawnienia tokenu jest jego unieważnienie albo rotacja, czyli wygenerowanie nowego poświadczenia i wyłączenie starego. Sama zmiana nazwy pliku lub ograniczenie dostępu po fakcie nie odbiera uprawnień tokenowi, który mógł już zostać skopiowany. Nowy token powinien mieć wyłącznie zakres uprawnień potrzebny konkretnemu programowi. Jeżeli usługa obsługuje czas ważności, krótszy okres obowiązywania ogranicza czas wykorzystania skradzionego poświadczenia.

Plik konfiguracyjny powinien być chroniony uprawnieniami systemu plików odpowiednimi do sposobu uruchamiania programu. Dostęp do niego należy ograniczyć do konta lub grupy, która rzeczywiście musi go odczytywać, a katalog nadrzędny nie powinien umożliwiać nieuprawnionej podmiany pliku. W praktyce token można przekazywać procesowi za pomocą mechanizmu przeznaczonego do przechowywania sekretów, na przykład bezpiecznego magazynu poświadczeń albo kontrolowanej zmiennej środowiskowej, o ile cały sposób wdrożenia zapewnia ograniczenie dostępu. Niezależnie od metody nie należy umieszczać tokenu w kodzie źródłowym, publicznym repozytorium ani zwykłych logach.

Sprawdzenie konfiguracji na komputerze użytkownika

Diagnostyka powinna rozpocząć się od ustalenia, jaki program korzysta z tokenu, jaki plik jest odczytywany oraz z jakiego konta działa proces. Następnie należy sprawdzić właściciela pliku, prawa odczytu i zapisu, dziedziczenie uprawnień oraz obecność kopii w katalogach tymczasowych i archiwach. W systemie Windows znaczenie mają między innymi uprawnienia list kontroli dostępu NTFS, natomiast w systemach uniksowych prawa właściciela, grupy i pozostałych użytkowników. Nie wolno jednak zakładać, że samo ustawienie restrykcyjnych praw naprawia sytuację, jeśli token został wcześniej ujawniony.

Podczas porządkowania konfiguracji trzeba zachować ostrożność, aby nie usunąć ustawień wymaganych przez program i nie umieścić nowego tokenu w logu podczas testu. Po zmianie poświadczenia należy sprawdzić, czy aplikacja korzysta już z nowej wartości, czy stary token przestał działać oraz czy plik nie jest automatycznie odtwarzany z niebezpiecznego źródła. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w których mogą występować również problemy z konfiguracją oprogramowania.