क्रिप्टो कैसीनो
धार गियर
एन्क्रिप्शन और एपीआई सुरक्षा: टीएलएस, एचएसटीएस, पीएफएस, गुप्त रोटेशन
1) धमकी की तस्वीर और लक्ष्य
MitM हमले, ट्रैफिक अवरोधन, डाउनग्रेड हमलों, टोकन स्पूफिंग, प्रमुख लीक और लंबे समय तक जीवित रहस्यों का दुरुपयोग के तहत API। संरक्षण उद्देश्य:- गोपनीयता और अखंडता (TLS 1। 3 + मजबूत सिफर)।
- डाउनग्रेड/स्ट्रिपिंग (एचएसटीएस, निषिद्ध संस्करण/सिफर्स) के खिलाफ सुरक्षा।
- समझौता क्षति को कम करना (पीएफएस, छोटा टीटीएल, तेजी से रोटेशन)।
- विश्वसनीय क्लाइंट/सेवा प्रमाणीकरण (mTLS/टोकन) और ट्रेसबिलिटी।
2) एक आधार के रूप में टीएलएस (सर्वर और सर्विस-टू-सर्विस)
संस्करण और सिफर:- डिफ़ॉल्ट TLS 1 है। 3; TLS 1 की अनुमति दें। केवल संगतता के लिए 2। 1 अक्षम करें। 1/1. 0.
- 'TLS _ AES _ 128 _ GCM _ SHA256', 'TLS _ AES _ 256 _ GCM _ SHA384', 'TLS _ CHACHA20 _ POLY1305 _ SH256'।
- टीएलएस 1 के लिए। 2: AES-GCM/ChaCha20 और ECDSA/RSA हस्ताक्षर के साथ केवल ECDHE (उदा। 'ECDHE-ECDSA-AES128-GCM-SHA256')।
- सर्वर कुंजी: ECDSA P-256/P-384 (तेज और छोटा) या RSA 2048 +/3072।
- MTLS के लिए क्लाइंट कुंजी: ECDSA P-256; अपने स्वयं के सीए या भुगतान एचएसएम/केएमएस के माध्यम से जारी करना।
- OCSP स्टेपलिंग सक्षम करें, अधिमानतः मस्ट-स्टेपल फ्लैग, और ALPN (HTTP/2/3) के साथ।
- पंचांग विनिमय (ECDHE) द्वारा प्रदान किया गया - भले ही सर्वर कुंजी लीक हो गई हो, पिछले सत्रों को डिक्रिप्ट नहीं किया जा सकता है।
- एक स्थिर डीएच/आरएसए प्रमुख समझौते को मजबूर करें।
- ईसीएच (एन्क्रिप्टेड क्लाइंट हैलो), यदि फ्रंट/सीडीएन द्वारा समर्थित है, तो एसएनआई को छुपाता है।
- HTTP/2/3 केवल मजबूत सिफर के साथ; असुरक्षित HTTP का निषेध, HTTPS को पुनर्निर्देशित करें।
3) एचएसटीएस बनाम टीएलएस-स्ट्रिपिंग
रूट डोमेन और सबडोमेन पर HTTP सख्त परिवहन सुरक्षा सक्षम करें:
सख्त-परिवहन-सुरक्षा: अधिकतम आयु = 63072000; सबडोमेन; प्रीलोड- प्रकाशन से पहले शुद्धता के लिए देखें (रोलबैक मुश्किल है)।
4) पारस्परिक प्रमाणीकरण: mTLS और/या टोकन
MTLS microservices/आंतरिक API के बीच: द्वि-दिशात्मक प्रमाणपत्र, सेवा जाल (Istio/Linkerd) या मालिकाना PKI के माध्यम से स्वचालित रोटेशन।
एपीआई क्लाइंट (मोबाइल/पार्टनर एकीकरण): टोकन (OAuth2/OIDC, JWT), उच्च जोखिम के लिए वैकल्पिक एमटीएलएस।
सार्वजनिक मोर्चों के लिए: TLS + अल्पकालिक - डिवाइस/DPoP बाइंडिंग के साथ टोकन।
5) प्रमाणपत्र और जीवनचक्र प्रबंधन
एसीएमई स्वचालन (उदाहरण के लिए, समाप्ति से 30 दिन पहले ऑटो-अपडेट के साथ एनक्रिप्ट/संगठनात्मक सीए)।
प्रमाणपत्रों का लघु जीवन (≤ 90 दिन) + समय सीमा, अलर्ट और कैनरी तैनाती पैकेट की निगरानी।
केंद्रीकृत पीकेआई: रूट/इंटरमीडिएट सीए, सीआरएल/ओसीएसपी, ऑडिट रिलीज और निरसन।
Nginx (टुकड़ा) का उदाहरण:nginx ssl_protocols TLSv1। 3 TLSv1। 2;
ssl_ciphers TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256:TLS_CHACHA20_POLY1305_SHA256;
ssl_prefer_server_ciphers पर;
ssl_ecdh_curve X25519:P-256:P-384;
ssl_stapling पर; ssl_stapling_verify पर;
add_header सख्त-परिवहन-सुरक्षा "अधिकतम आयु = 63072000; सबडोमेन; प्रीलोड" हमेशा;6) गुप्त रोटेशन: सिद्धांत और पैटर्न
रोटेशन लक्ष्य: लीक के "विस्फोटक त्रिज्या" को सीमित करें, दुरुपयोग के समय को कम करें, और सहज रिलीज सुनिश्चित करें।
बुनियादी नियम:- केवल गुप्त प्रबंधक (केएमएस/वॉल्ट/क्लाउड एसएम) में रहस्यों का भंडारण। गिट/छवियों में कोई रहस्य नहीं।
- संक्षिप्त टीटीएल तथा स्वचालित घुमाव: हस्ताक्षर कुंजी, डाटाबेस पासवर्ड, प्रदाता एपीआई कुंजी।
- दोहरी कुंजी विंडो: रोल अवधि के लिए पुरानी और नई कुंजियाँ एक साथ सक्रिय हैं।
- वर्शनिंग + बच्चा (JWT/JWKS के लिए), पुराने टोकन को मान्य करने के लिए "अनुग्रह" विंडो।
- JWT कुंजी (हस्ताक्षर/एन्क्रिप्शन), वेबहुक और कॉलबैक के एचएमएसी रहस्य, पासवर्ड/डेटाबेस खाते, कैश (रेडिस), CI/CD टोकन, प्रदाता रहस्य (KYC/AML, भुगतान, SMS S/e-मेल) SH - स्वचालन कुंजी।
अनिर्धारित रोटेशन के ट्रिगर: रिसाव का संदेह, पहुंच के साथ कर्मचारियों की बर्खास्तगी, आपूर्तिकर्ता का परिवर्तन, नियामक की आवश्यकताएं।
7) JWT/JWKS: सुरक्षित भूमिका ओवरले
वर्तमान और भविष्य की कुंजी ('बच्चा' आवश्यक) के साथ JWKS समापन बिंदु प्रकाशित करें।
घूर्णन प्रक्रिया:1. एक नई कुंजी उत्पन्न करें → इसे JWKS में "द्वितीय" कुंजी के रूप में जोड़ें।
2. हस्ताक्षरकर्ता अद्यतन करें - एक नई कुंजी के साथ नए टोकन जारी करें।
3. पुराने टोकन के टीटीएल के लिए प्रतीक्षा करें - JWKS से पुरानी कुंजी निकालें।
छोटे टीटीएल टोकन स्थापित करें (उदाहरण के लिए, 5-15 मिनट) + अतिरिक्त सत्यापन के साथ ताज़ा धाराएँ।
8) व्यवहार में गुप्त प्रबंधन
KMS + लिफाफा एन्क्रिप्शन: HSM/KMS में मास्टर कुंजी, डेटा को "रैप" DEK के साथ एन्क्रिप्ट किया गया है।
वॉल्ट/क्लाउड सीक्रेट मैनेजर: डेटाबेस के लिए गतिशील क्रेडिट (टीटीएल के साथ रिकॉर्ड जारी करना), आवधिक रोटेशन।
Kubernetes: बाहरी रहस्य/रहस्य स्टोर CSI; etcd एन्क्रिप्शन; RBAC; लॉगिंग रहस्य का निषेध।
भूमिका पहुंच: IAM/ABAC, कम से कम विशेषाधिकारों का सिद्धांत, हार्डवेयर सीमाएं (HSM, TPM)।
पूर्ण ऑडिट: कौन, क्या, कब, क्यों पढ़ा/बदल गया।
9) परिधि के अंदर परिवहन सुरक्षा
"आंतरिक नेटवर्क" पर भरोसा न करें: हर जगह टीएलएस/एमटीएलएस (शून्य-विश्वास)।
सेवा जाल स्वचालित करता है प्रमाणपत्र, पुनः प्रारंभ और रोटेशन, अवलोकन (डिफ़ॉल्ट रूप से mTLS).
TLS समाप्ति को न्यूनतम करें: या तो किनारे + केवल पूर्व-पश्चिम में एन्क्रिप्टेड, या एंड-टू-एंड एन्क्रिप्शन।
10) टीएलएस सुरक्षा नीतियों पर एपीआई
दर सीमित/डॉस सुरक्षा, वेबहुक हस्ताक्षरों का सत्यापन (गुप्त रोटेशन के साथ HMAC)।
सामग्री-सुरक्षा-नीति/रेफरर-नीति/एक्स-सामग्री-प्रकार-विकल्प для фронта।
महत्वपूर्ण समापन बिंदुओं (भुगतान, व्यवस्थापक पैनल) के लिए एमटीएलएस, भागीदारों द्वारा आईपी अनुमति-सूची।
रीप्ले सुरक्षा: टाइमस्टैम्प + गैर हस्ताक्षरित अनुरोधों में, विंडो 5 मिनट से अधिक नहीं।
11) निगरानी और परीक्षण
टीएलएस की अवलोकन: मेट्रिक्स में संस्करण/सिफर्स, डाउनग्रेड प्रयासों के लिए अलर्ट, हैंडशेक विफलताओं में वृद्धि।
स्कैनर (सीआई/सीडी में और नियमित रूप से बिक्री में): समर्थित सिफर, प्रमाणपत्र, एचएसटीएस, ओसीएसपी की जाँच।
अराजकता/डीआर अभ्यास: प्रमाणपत्र समाप्ति, गुप्त प्रबंधक ड्रॉप, हस्ताक्षर कुंजी समझौता - प्रतिक्रिया योजना
12) प्रतिक्रिया प्रक्रियाएं
मुख्य समझौता: JWKS से तत्काल प्रमाणपत्र निरस्तीकरण/कुंजी हटाना, बैकअप को उलट देना, टोकन पुनर्जनन के लिए मजबूर करना।
नवीकरण के बिना समाप्ति: अस्थायी गिरावट (आंतरिक यातायात केवल), प्रमाणपत्रों की स्वचालित बहाली।
हादसा रिपोर्ट: समयरेखा, प्रभावित विषय, तकनीक। भागों, सुधारात्मक उपाय।
13) क्विक चेक चेकलिस्ट (प्रॉड-रेडी)
- केवल टीएलएस 1। 3 (+ 1. 2 लेगासी के लिए), सिफर्स की एक सख्त सूची।
- HSTS с 'प्रीलोड', OCSP स्टेपलिंग, ALPN।
- पीएफएस के लिए ईसीडीएचई; ECDSA P-256/384 या RSA 3072।
- mTLS क्लस्टर के भीतर/महत्वपूर्ण सेवाओं के बीच।
- JWKS + बच्चा, छोटा TTL टोकन, रोटेशन योजना।
- रहस्य - केवल केएमएस/वॉल्ट में, डेटाबेस/प्रदाताओं का ऑटो-रोटेशन।
- प्रमाणपत्रों का ऑटो-नवीकरण (ACME), 30 दिनों में अलर्ट।
- सुरक्षा हेडर और कमजोर सिफर की सीआई/सीडी जांच।
- प्रलेखित रनबुक 'और: रोटेशन, रिकॉल, घटनाएं।
सारांश फिर से शुरू करें
विश्वसनीय एपीआई सुरक्षा टीएलएस 1 का एक संयोजन है। 3 + एचएसटीएस + पीएफएस एक अनिवार्य न्यूनतम और परिपक्व कुंजी और गुप्त प्रबंधन प्रक्रियाओं के रूप में। सेवाओं के बीच एमटीएलएस जोड़ें, केएमएस/वॉल्ट/मेष के माध्यम से स्वचालित रिलीज/रोटेशन, चाबियां बदलते समय छोटी टीटीएल और डबल विंडो रखें - और आप उत्पाद की उपलब्धता और गति को तोड़े बिना अवरोधन, डाउनग्रेड और लीक के जोड को कम करेंगे।