V1.2.2 Authentication Architecture

Requirement:

Verify that communications between application components, including APIs, middleware and data layers, are authenticated. Components should have the least necessary privileges needed. (C3)

Explanation:

Требование определяет необходимость использования аутентификации при взаимодействии между компонентами приложения, включая API,  а также на то, чтобы эти компоненты обладали минимальными правами. 

1 Authenticated Communications:

• Требование указывает на важность аутентификации при взаимодействии и обмене данными между различными компонентами приложения.
• Аутентификация компонентов приложения подтверждает, что компоненты являются теми, за кого себя выдают, и обеспечивает доверие к обмениваемым данным и командам.

2 Least Necessary Privileges:

• Предполагается, что каждый компонент должен иметь минимальный уровень доступа и разрешений, необходимый для выполнения возложенных на него функций.

Security: Аутентификация помогает предотвратить несанкционированный доступ и использование компонентов и служб, повышая общий уровень безопасности приложения.

Data Protection: Аутентификация позволяет обеспечить доступ к конфиденциальным данным только авторизованным компонентам приложения, что снижает риск утечки информации.

Isolation: Использование приницпа наименьших привилегий позволяет изолировать компоненты приложения и исключить возможность случайного или злонамеренного вмешательства в работу других компонентов или доступа к конфиденциальным данным.

Attack Mitigation: В случае компрометации компонентов приложения обладающих минимальными правами, злоумышленник будет ограничен в возможностях по изменению или повышению своих привилегий в приложении.

К примеру, есть приложение электронной коммерции на базе микросервисов, состоящее из следующих компонентов:

• User Service: Осуществляет управление пользователями и аутентификацией.
• Product Service: Управляет списками товаров и их запасами.
• Order Service: Обрабатывает заказы и платежи клиентов.
• Payment Gateway: Обеспечивает обработку платежей через внешних платежных провайдеров.

В данном случае:

• Каждый компонент использует для аутентификации безопасные API-токены.
• Служба User Service аутентифицирует пользователей и выдает им токены после успешного входа в систему
• Product Service и Order Service проверяют входящие запросы с использованием этих токенов и авторизуют действия в соответствии с ролями и правами пользователей.
• Payment Gateway проверяет входящие платежные запросы от службы заказов

Remediation:

Для выполнения этого требования необходимо выполните=ь следующие действия:

1 Authentication Protocols:

• Внедрить надежные протоколы и механизмы аутентификации для проверки подлинности компонентов. Это могут быть API-ключи, маркеры, сертификаты или другие методы аутентификации.

2 Access Controls:

• Использовать механизмы контроля доступа и авторизации для определения и обеспечения минимально необходимых привилегий для каждого компонента.
• Внедрить контроль доступа на основе ролей (RBAC) или контроль доступа на основе атрибутов (ABAC)

3 Secure Communication:

• Убедиться, что связь между компонентами зашифрована и безопасна. Использовать такие технологии, как TLS/SSL последней версии, для безопасной передачи данных.

4 Authentication Tokens:

• При использовании токенов для аутентификации (например, JWT или OAuth) перед предоставлением доступа необходимо убедиться в том, что токены действительны и срок их действия не истек.

5 Audit and Monitoring:

• Внедрить аудит и мониторинг взаимодействия компонентов для обнаружения и реагирования на подозрительные или несанкционированные действия.

6 Error Handling:

• Внедрить механизмы обработки ошибок, чтобы корректно и безопасно обрабатывать ошибки аутентификации, не раскрывая конфиденциальную информацию.

7 Documentation:

• Документировать механизмы аутентификации и авторизации, используемые между компонентами, включая роли и разрешения, связанные с каждым компонентом.

Additional: