Todennus todistaa jotain soittajasta. Valtuutus määrittää, voiko soittaja hakea tämän asiakkaan raportit tai suorittaa tämän toiminnon. Kelvollisista API-tunnistetiedoista ei saa tulla vuokraajan rajojen oikotie. Aloita käyttöoikeusmatriisilla ennen päätepisteiden tai taustatöiden lisäämistä.
Sido identiteetti pyydettyyn objektiin
Selvitä soittajan identiteetti tuetun todennusmekanismin avulla ja hanki sitten sen valtuutettu vuokraaja ja toiminta-alueet luotetusta palvelinpuolen tilasta. Käsittele URL-osoitteessa tai pyynnön rungossa olevaa vuokralaisen tunnusta pyydettynä kohteena, ei todisteena luvasta. Tarkista raportti, vie työ ja lataa artefakti soittajan todellista tukea vastaan.
OWASP:n valtuutushuijauslehti suosittelee vähiten etuoikeuksia, oletuksena kieltämistä ja käyttöoikeuksien tarkistusta jokaisessa pyynnössä. Käytä näitä periaatteita asynkronisiin työntekijöihin ja latauslinkkeihin sekä ensimmäiseen API-kutsuun. Laillisesti luotu vienti ei saa olla myöhemmin toisen vuokralaisen ladattavissa, koska sen objektitunnus on helppo arvata.
Erillinen lukuoikeus muuttamisesta
Raportinlukija voi noutaa hyväksytyt verkkotunnuksen tiedot, mutta sen ei pitäisi saada automaattisesti DNS kirjoitusoikeutta. DNS operaattori ei ehkä tarvitse pääsyä tallennettuun raporttihistoriaan. Tarkastaja voi vaatia rajoitettua näyttöä raakaviestien sijaan. Dokumentoi kunkin roolin sallitut objektit ja toiminnot ja pidä salainen hallinta tavallisten lokien ja viennin ulkopuolella.
Oletetaan, että automaatiotunniste on hyväksytty vain vuokralaisen A raporttien lukemiseen. Vuokralaisen A DNS muutos ja vuokralaisen B luettu raportti tarvitsevat kumpikin hylkäämisen kyseisen luvan puitteissa kelvollisesta todennusta huolimatta. Erillinen, nimenomaisesti hyväksytty toiminnanharjoittaja-avustus vaatisi oman kohde- ja toimintatarkistuksensa. Nämä ovat hypoteettisia odotettuja päätöksiä, eivät toteutettu lupamatriisi tai kuvaus EmailAuth -rooleista.
Tee negatiivisista testeistä osa hyväksyntää
Suorita sallittu saman vuokralaisen raportin luku ja muuta sitten vain pyydettyä vuokralaista. Toista puuttuva lukualue ja peruutettu päämies. Suunnittele myös todellisia testejä objektitason tunnuksille, tallennetuille viennille, jonossa oleville töille ja muuttuneille ryhmän jäsenille. Käytä valtuutettuja synteettisiä vuokralaisia ja vaarattomia tietoja toisen asiakkaan tilin tutkimisen sijaan.
Kirjaa kunkin valtuutetun testin todellinen päätös ja mahdolliset paljastetut vastauskentät. Hylätty pyyntö ei saa vuotaa yksityisen objektin tietoja metatietojen, laskelmien, latauslinkkien tai välimuistissa olevien tulosten kautta. Sisällytä kelvollinen suojattu luku erottaaksesi oikean täytäntöönpanon päätepisteestä, joka kieltää kaikki. Token-järjestelmää, OAuth-kulkua tai tuotannon valtuutustestiä ei toimiteta tai suoriteta täällä.
Käytä apurahaa sen elinkaaren ajan
Tietue luvan omistaja, hyväksytty tarkoitus, vuokralaisen laajuus, vanhenemis- tai tarkistuskäynnistin ja peruutuspolku. Säilytä valtuusaineistoa hyväksyttyyn salaiseen järjestelmään, kierrä hallitun menettelyn mukaisesti ja tarkasta käyttöä tallentamatta itse salaisuutta. Tarkista valtuudet uudelleen suorittaessasi viivästynyttä työtä; jonossa oleva tehtävä ei saa säilyttää käyttöoikeuksia loputtomiin peruutuksen jälkeen.
Tarkista taustalla olevien tietojen herkkyys. RFC 9990 kuvailee kokonaisraportti sisältö- ja turvallisuusnäkökohdat; raportin metatiedot ansaitsevat edelleen valvotun julkistamisen. Jos valtuutus epäonnistuu, palauta asianmukainen hylkäys vahvistamatta toisen vuokralaisen yksityisiä objekteja. Jos vuokralaisten välisiä tietoja löydetään, sisällytä altistuminen ja käynnistä organisaation tapausmenettely. Älä vain muuta käyttöliittymää ja oleta, että API on turvallinen.
OWASP:n usean vuokralaisen opastus, erityisesti sen asynkroninen työ-, välimuisti-/istunto- ja tiedostojen tallennusosuudet, tukee laajuuden pakottamista alkuperäisen pyynnön ulkopuolelle ja aikaherkkien käyttöoikeuksien uudelleentarkistusta viivästyneen suorituksen aikana.