نوشته‌شده در

تأیید هویت – آیا دلایل عینی برای استفاده از کاربر / رمز عبور اختصاص داده شده به جای ارائه دهندگان هویت در یک سازمان بزرگ وجود دارد؟

من برای یک سازمان بزرگ کار می کنم (هزاران نفر از کارمندان + شاید ده ها هزار نفر از کاربران خارجی که دسترسی جزئی به کسری از اطلاعات داخلی دارند) و بسیاری از این افراد با استفاده از نام کاربری / رمز عبور (که به طور مرتب منقضی می شوند) تایید می شوند. [19659002] با این حال، بسیاری از این افراد (برای کارکنان مشخص است صرف نظر از اینکه آیا آنها معمولا در ویندوز، لینوکس یا iOS کار می کنند) با یک حساب کاربری Active Directory (آدرس ایمیل داخلی) و AFAIK تمام سیستم های ما اجازه ورود به سیستم را با استفاده از ADFS فراهم می کنند.

حتی برای آن دسته از کاربران خارجی که دسترسی بسیار محدودی دارند (مثلا برای بعضی از گزارش ها) ما می توانیم یک راه حل را با استفاده از ارائه کننده اصلی هویت (مثلا گواهی هویت گوگل) پیاده کنیم، اگر ADFS مجاز نباشد.

Creating usernames / password یک بار برای کاربران و بسیاری از آنها از فایل های اکسل و ایمیل برای ذخیره آنها استفاده می کنند که یک خطر امنیتی است. همچنین از اشتراک کاربری شنیدم، بنابراین نمیتوانم بدانم که چه کسی از یک کاربر خاص استفاده کرده است.

بنابراین، با استفاده منحصربفرد از اعتبارهای ویندوز و شاید برخی ارائه دهندگان هویت دیگر، کاربر باید فقط از یک جفت اعتبار در هنگام برخورد با تمام سیستم های شرکت. همچنین، به اشتراک گذاری اعتبار ناپدید خواهد شد.

سوال: آیا دلایل عینی برای استفاده از کاربر / رمز اختصاصی به جای ارائه دهندگان هویت در یک سازمان بزرگ وجود دارد؟

نوشته‌شده در

احراز هویت – آزمون نفوذ / هک – امنیت اطلاعات پشته تبادل

من یک حرفه ای امنیت اطلاعات نیستم. من یک وب توسعه دهنده خودمختار هستم بنابراین امیدوارم این سوال خیلی ساده نباشد

من یک فروشگاه وب را از طریق وردپرس با استفاده از WooCommerce راه اندازی کرده ام و به همین دلیل من همچنین برخی از امنیت (iThemes Security) را برای نظارت تلاش های ورود به سیستم و غیره iThemes Security چندین تلاش را در طول 2 ماه گذشته برجسته کرده است که با توجه به کلمات عبور قوی و یا این واقعیت که "admin" به عنوان یک نام کاربری ممنوع است، منع شده است.

در حال اجرا whois در پایگاه داده RIPE whois جستجو می کند. آدرس آی پی "مهاجمان" با FOP Tokarchuk Oleksandr Stepanovich در اوکراین ([email protected]) و World Hosting Farm در ایرلند ([email protected]) مطرح شد.

FOP Tokarchuk Oleksandr Stepanovich در اوکراین
11 اقدام خشونت آمیز 2 ماه پیش (لایسنس نامعتبر) و 3 تلاش نیروی بیرحمانه در حال حاضر تلاش برای استفاده از "admin" به عنوان نام کاربری

مزرعه میزبانی میزبان جهانی در ایرلند
6 نیروی بی رحم تلاش 3 هفته پیش.

ذخیره e هنوز زنده نیست چون پایگاه داده های موجود در حال حاضر در حال ساخت است، بنابراین هیچ اطلاعاتی در مورد مشتریان در معرض خطر قرار نخواهد گرفت. هر تلاش باعث قفل کردن 2 ساعت برای آدرس IP مربوطه شد و ایمیل ها به من از وب سایت فرستاده شدند که به من اطلاع داده شد که آنها قفل شده اند. سپس قفل آنها را به ممنوعیت کامل تبدیل کردم بنابراین از لحاظ نظری تلاش های بیشتری از طریق آن آدرس های IP انجام نمی شود. امیدوارم در این مورد صحیح باشم.

آنچه که من تعجب می کنم این است که آیا باید با مسئولین مسئول مربوطه از طریق آدرس های ایمیل@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@. قطعه از سیاهههای مربوط به آدرس IP و زمان تلاش؟

نوشته‌شده در

oauth2 – نحوه مدیریت مجوزها در سرور منابع (RS) هنگام اعطای احراز هویت از طریق OIDC (Auth0)؟

من در آستانه ایجاد یک سرویس در سرور منبع خود هستم که علامت دسترسی خارجی ایجاد شده را برای یک نشانه دسترسی داخلی ایجاد می کند. با این حال، این اشتباه است من شواهدی از کسی که نیاز به این الگوی را پیدا نکرده است، نشانه خوبی است که چیزی را از دست داده ام.

جزئیات

ما یک SOA مبتنی بر REST معمولی را اجرا می کنیم. ما تأیید اعتبار را به Auth0 منتقل می کنیم تا بتوانیم از مشتریان با ارائه دهندگان هویت متفاوت پشتیبانی کنیم. به عنوان مثال، درخواستهای API را دریافت می کنیم و براساس نشانه دسترسی تولید شده توسط Auth0 انجام می دهیم. با این حال، ما می خواهیم مجوز API های دقیق را در داخل مدیریت کنیم و ما می خواهیم کنترل بیشتری بر چرخه عمر نشانه (مثلا، لغو سمت سرور مجاز).

Auth0 از ادعاهای سفارشی پشتیبانی می کند، اما این نیاز به اتصال بسیار نزدیک بین سرور ما و (و یا قوانین ما در سرور خود.) همچنین، این نیز نیاز مجبور به لغو مجوز را حل نمی کند.

این به نظر می رسد این نیاز را می توان با مبادله رمز دسترسی دسترسی Auth0 برای یک جدید نشانه دسترسی تولید شده توسط سرور ما، که می تواند ادعاهای مربوط به مجوز های پیکربندی کاربر / هویت را تزریق کند. این اجازه می دهد تا ما کنترل کنیم، به خوبی چیزی که ما در مورد نشانه می خواهیم، ​​از جمله لغو آن است.

نگرانی ها

من تمیز کردن مشخصات OIDC و OAuth2 و جستجو برای دیگران با نیاز مشابه. عدم وجود هر گونه بازدیدها به من مربوط می شود.

آیا راه بهتر برای مدیریت مجوز داخلی وجود دارد، در حالیکه هنوز تأیید هویت را به یک ارائه دهنده مانند Auth0 منتقل می کند؟

آیا راهی بهتر برای لغو املایی وجود دارد تا تولید و ردیابی نشانه ها ؟ آیا امکان حفظ نشانه های بدون حقوق و حمایت از لغو در همان زمان وجود دارد؟ (اگر این برای یک پست SE خیلی زیاد است، این بخش را نادیده بگیرید.)

نوشته‌شده در

زیرساخت کلید عمومی – تأیید هویت مشتری با استفاده از گواهی در ارتباط M2M

ما قصد داریم سناریوی زیر را برای یک سناریوی ارتباطی ایمن ماشین-ماشین (M2M) اجرا کنیم. ما برخی از دروازه ها و بسیاری از سنسورهای ایمن داریم که فقط باید بتوانند به یکدیگر «صحبت کنند» اگر بتوانند خود را تأیید کنند. هیچ DNS در دسترس نیست، بنابراین همه چیز در حال کار بر روی آدرس آی پی است.

دروازه به عنوان یک CA عمل می کند، به این معنی که CA.crt و CA.key روی آن وجود دارد، که احتمالا در داخل TPM ذخیره می شود. علاوه بر این gateway.crt و gateway.key وجود دارد، جایی که gateway.crt توسط CA صادر می شود. gateway.crt می تواند در زمان اجرا هر زمانی که لازم باشد انجام می شود (به عنوان مثال اگر IP آدرس تغییر کند، که نیاز به تغییر در CN از gateway.crt) ایجاد می شود.

هر سنسور آن را منحصر به فرد sensor.key و sensor.crt. Sensor.crt توسط CA.crt توسط تولید کننده سنسور امضا شده است و CA.crt در سنسور در لیستی از CA های مورد اعتماد ذخیره می شود. تمام حسگرها همانند CN = "TrustedSensor" خواهند بود.

ارتباط با SSL / TLS با هر دو مورد احراز هویت سرور و مشتری انجام خواهد شد. در درک من، برقراری ارتباط و ارتباط باید به عنوان هر نوع دستگاه (دروازه، سنسور) کار می کند CA.crt در فهرست CA های مورد اعتماد خود. چیزی که من مطمئن نیستم این است که همه حسگرها همانند CN = "TrustedSensor" هستند. من نمی خواهم یک پایگاه داده بزرگ حسگرهای قابل اعتماد را در دروازه حفظ کنم، بلکه می خواهم اعتماد کنم به تمام سنسورهایی که یک گواهینامه مطابق با آن وجود دارد که CN نشان دهنده آن است. آیا یک مسئله امنیتی با این رویکرد همه سنسورهای دارای CN همانند است؟