Կրիպտո կազինո
Torrent Gear
API կոդավորումը և պաշտպանությունը ՝ TSA, HSTS, PSA, գաղտնիքների ռոտացիա
1) Սպառնալիքների և նպատակների պատկերը
API-ը MitM-ի հարձակման տակ է, որը ընդհատում է հրթիռները, դաունգրեյդ հարձակումը, հոսանքների կեղծումը, արտահոսքը և երկար գաղտնիքների չարաշահումը։ Պաշտպանության նպատակները
Գաղտնիությունը և ամբողջականությունը (TFC 1։ 3 + ուժեղ ծածկագրեր)։
Պաշտպանություն doungraid/stripping (HSTS, արգելված տարբերակները/ծածկագրերը)։- Վնասի նվազեցումը փոխզիջման ժամանակ (PSA, կարճ TTL, արագ ռոտացիա)։
- Հաճախորդի/2019 (mTSA/հոսանքի) և ուղեղի։
2) TSA-ն որպես բազիս (սերվերային և ծառայողական-k-ծառայություն)
Տարբերակները և ծածկագրերը
Լռելյայն TFC 1։ 3; թույլ տալ TFC 1։ 2 միայն մրցույթի համար։ Անջատել 1։ 1/1. 0.
TFC 1-ի գերակայական ծածկագրերը։ 3:- `TLS_AES_128_GCM_SHA256`, `TLS_AES_256_GCM_SHA384`, `TLS_CHACHA20_POLY1305_SHA256`.
- TFC 1-ի համար։ 2: միայն ECDHE-ը AES-GCM/ChaCha20 և ECDTS/RTS ստորագրությամբ (օրինակ ՝ «ECDHE-ECDJ-AES128-GCM-SHA256»)։
Բանալիներ և հավաստագրեր
Սերվերային բանալիները ՝ ECDPP-256/P-244 (ավելի արագ և կարճ) կամ RFC 2048 +/3072։
Հաճախորդների բանալիները mTFC-ի համար ՝ ECDPP-256; թողարկումը սեփական CA-ի միջոցով կամ վճարովի HSM/KLS-ի միջոցով։
Միացրեք OCSA stapling-ը, որը համագործակցում է Must-Staple դրոշի հետ և ALPN (HTTP/2/3)։
PFS (Perfect Forward Secrecy):- Այն ապահովվում է էֆեմերային փոխանակումներով (ECDHE), նույնիսկ եթե սերվերային բանալին է, անցյալի նստաշրջանները չեն վերծանվում։
- Հարկադրաբար անջատեք ստատիկ DH/RSA-ռուսական պայմանագիրը։
Ժամանակակից ավելացումները
ECH (Encrypted Client Hello), եթե աջակցվում է առջևի/CDN, թաքցնում է SNI-ը։- HTTP/2/3 միայն ուժեղ ծածկագրերով; անպաշտպան HTTP-ի արգելքը, HTTPS-ի ռեպիրտը։
3) HSTS-ը TMS-stronping-ի դեմ
Միացրեք HTTP Strict Transport Transport Cornet-ը արմատային ենթախմբի և փոխարինումների վրա
Strict-Transport-Security: max-age=63072000; includeSubDomains; preload- Հետևեք հրապարակումից առաջ ճիշտությանը (արձագանքը դժվար է)։
4) Փոխադարձ վավերացում ՝ mTSA և/կամ ցնցումներ
MTSA-ը միկրովայրկյանների/ներքին API-ի միջև 'երկկողմանի հավաստագրեր, ավտոմատ ռոտացիա www.mesh (Istio/Linkerd) կամ սեփական PKI-ի միջոցով։
API հաճախորդները (բջջային/գործընկերային) 'հոսանքներ (OAuth2/OIDC, JWT), օպոզիանորեն mTSA-ի համար high-risk-ի համար։
Հանրային ճակատների համար ՝ TFC + կարճ OAuth2/OIDC-ը հոսվում է սարքի հետ կապված/DPoP։
5) Վկայագրերի և կյանքի ցիկլի կառավարումը
ACFC ավտոմատիզացիան (օրինակ, Let's Encrypt/կազմակերպական CA), որի թարմացումը 30 օր առաջ։
Հավաստագրերի կարճ կյանքը (2490 օր) + 230 ռուբլիներ, ալտերտեր և կանարեկային փաթեթներ։
Կենտրոնացված PKI: Կորոլ/միջանկյալ CA, CRL/OCERT, թողարկման և արձագանքման աուդիտ։
Nginx (հատված)։
nginx ssl_protocols TLSv1. 3 TLSv1. 2;
ssl_ciphers TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256:TLS_CHACHA20_POLY1305_SHA256;
ssl_prefer_server_ciphers on;
ssl_ecdh_curve X25519:P-256:P-384;
ssl_stapling on; ssl_stapling_verify on;
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;6) Գաղտնիքների լուծարումը 'սկզբունքներն ու արտոնագրերը
Ռոտացիայի նպատակները 'սահմանափակել արտահոսքի «պայթուցիկ շառավիղը», նվազեցնել չարաշահման ժամանակը, ապահովել անվնաս օրինագծեր։
Հիմնական կանոնները
Գաղտնիքների պահպանումը միայն գաղտնիության կառավարման մեջ (KFC/Vox/Cloud SM)։ Ոչ մի գաղտնիք Git/պատկերներում։
Կարճ TTL-ը և ավտոմատ նավարկումը 'ստորագրության բանալիները, BD գաղտնաբառերը, պրովայդերների API-բանալիները։
Կրկնակի հրատարակումը (dox-key) 'հին և նոր բանալիները միաժամանակ ակտիվանում են խաչմերուկի ժամանակահատվածի համար։
Տարբերակումը + kid (JWT/JWKS), «grace» պատուհանը հին հոսանքների վալիդացիայի համար։
Ի՞ նչ անել կանոնավորաբար
JWT-բանալիներ (ստորագրություն/կոդավորում), HMAC գաղտնիքները webhuks և callback 'ov, Parley/BD ուսուցիչներ, cashams (Redis), tocens CI/CD, պրովայդերների գաղտնիքները (KYC/AML, սարահարթակներ, SMS/e-mail), SSH ավտոմատացման բանալիներ։
Չնախատեսված տարհանման գործիքները 'արտահոսքի կասկածը, աշխատողների հեռացումը հասանելիությունից, փոփոխությունից, կարգավորողի պահանջներից։
7) JWT/JWKS 'ապահով եղջերաթաղանթ
Հրապարակեք JWKS endpoint-ը ներկա և ապագա բանալին («kid» պարտական)։- Ռոտացիայի գործընթացը
1. Sgeneration նոր բանալին նախատեսվում է ավելացնել JWKS-ում որպես «երկրորդ»։
2. Ստորագրողները նորարարեցին նոր հոսանքների արտադրությունը նոր բանալին։
3. Սպասել TTL հին հոսանքներին, նախատեսվում է հեռացնել հին ստեղնը JWKS-ից։
Կարճ TTL հոսանքները (օրինակ, 5-15 րոպե) + refresh հոսքերը ավելացված ստուգմամբ։
8) Գաղտնի կառավարումը գործնականում
KFC + envelope encryption: HSM/KFC-ի վարպետության բանալին, տվյալները կոդավորված են DEK-ով։
Vox/Cloud Secret System: դինամիկ կրեդները BD-ի (TTL-ի հետ), պարբերական լուծումը։
Kubernetes: External Secrets/Secrets Store CSI; etcd կոդավորումը; RBAC; գաղտնիքների լոգիստիկայի արգելք։
Դերերի հասանելիությունը ՝ IAM/ABAC, նվազագույն արտոնությունների սկզբունքը, ապարատային սահմանները (HSM, TPM)։
Ամբողջական աուդիտ 'ով, երբ կարդացի/փոխեց։
9) Տեղափոխական պաշտպանություն պարագծի ներսում
Մի վստահեք «ներքին ցանցին» 'ամենուրեք TFC/mTSA (zero-trust)։- Medmesh-ը ավտոմատացնում է հավաստագրերը, վերականգնումը և նավարկումը, դիտարկումը (mTSA լռելյայն)։
- Նվազագույնի հասցրեք TFC տերմինալները 'կամ միայն edge + կոդավորված ement-west կամ կոդավորման միջոցով։
10) API անվտանգության քաղաքականությունը TLS-ի վերևում
Rate limiting/DoS-պաշտպանություն, Webhuks ստորագրության ստուգում (HMAC գաղտնիքներով)։
Content-Security-Policy/Referrer-Policy/X-Content-Type-Options для фронта.
MTSA-ը քննադատական endpoint-ի համար (վճարումներ, admink), IP allow-list գործընկերների համար։- Replay-պաշտպանություն 'timestamp + nonce ստորագրած պահանջներով, պատուհանները ոչ ավելի, քան հինգ րոպե։
11) Մոսկվան և թեստերը
TFC-ի դիտարկումը 'տարբերակները/ծածկագրերը մետրերում, ալտերտերը դաունգրեյդի փորձերի, ձեռագրերի ձախողումների աճի համար։
Սկաներներ (CI/CD և պարբերաբար վաճառքում) 'աջակցվող ծածկագրերի, հավաստագրերի, HSTS, OCBS-ի ստուգում։- Chaos/DR-ուսմունքները 'կոդավորման մաքրումը, գաղտնի մենեջերի անկումը, ստորագրության ստեղնի փոխզիջումը, ստուգեք արձագանքի պլանները։
12) Մրցույթի ընթացակարգերը
Ստեղնաշարի փոխըմբռնումը 'JWKS-ից ստեղների վերջնական վերանայում/հեռացում, պահեստային շրջադարձ, հոսանքների հարկադիր վերականգնում։
Առանց երկարացման 'ժամանակավոր քայքայումը (միայն ներքին լուծումը), հավաստագրերի ավտոմատ փոխակերպումը։- Պատահականության զեկույցը 'թայմլայնը, որոնք ազդել են սուբյեկտների, տեխնիկայի վրա։ մանրամասները, որոնք ուղղում են միջոցները։
13) Արագ ստուգման թուղթ (112-ready)
- Միայն TFC 1։ 3 (+ 1. 2), ծածկագրերի խիստ ցուցակ։
- HSTS с `preload`, OCSP stapling, ALPN.
- ECDHE PSA-ի համար; ECDPP-256/244 կամ RFC 3072։
- mTSA-ի ներսում/կրիտիկական ծառայությունների միջև։
- JWKS + kid, կարճ TTL Տոկենով, ռոտացիայի պլան։
- Գաղտնիքները միայն KFC/Vance-ում են, BD/պրովայդերների աուտացիան։
- հավաստագրերի նորարարությունը (ACFC), ալտերտերը 30 օրվա ընթացքում։
- CI/CD-ստուգումը անվտանգության և խոցելի ծածկագրերի վերնագրերի վրա։
- Փաստագրված runbook "և 'ռոտացիա, արձագանք, միջադեպեր։
Ռեզյումե
API-ի հուսալի պաշտպանությունը TFC 1 համադրությունն է։ 3 + HSTS + PSA-ն որպես բեկորների և գաղտնիքների կառավարման նվազագույն և հասուն գործընթացների իրականացում։ Ավելացրեք mTRK-ը ծառայությունների միջև, ավտոմատիզացրեք թողարկումը/հավատարմագրումը KFC/Vox/mesh-ի միջոցով, պահեք կարճ TTL և «կրկնակի պատուհաններ», և դուք կհանգեցնեք կրկնապատկման, դաունգրեյդի և գաղտնիքների չարաշահմանը, առանց կոտրելու արտադրանքի հասանելիությունն ու արագությունը։