V9.2.3 Server Communication Security

Requirement:

Verify that all encrypted connections to external systems that involve sensitive information or functions are authenticated.

Explanation:

Требование направлено на повышение безопасности серверных подключений, подчеркивая важность шифрования и аутентификации для подключений к внешним системам, связанным с конфиденциальной информацией или критическими функциями. Это требование гарантирует, что шифрование используется не только для защиты конфиденциальности и целостности данных, но и для проверки подлинности идентификационных данных общающихся сторон.

• Encrypted Connections:

  •  Шифрованные соединения используют протоколы безопасности, такие как TLS, для защиты данных при передаче. Это позволяет защитить данные от перехвата и несанкционированного проникновения.

• External Systems:

  • Под "External systems" понимаются другие организации или службы, с которыми взаимодействует ваше приложение, как правило, за пределами вашей собственной среды или сети.

• Sensitive Information or Functions:

  • Это требование относится к соединениям, в которых используются конфиденциальные данные (например, персональные данные, финансовые данные) или критические функции (например, аутентификация, авторизация, обработка платежей).

• Authentication:

  • Аутентификация гарантирует, что клиент и сервер могут идентифицировать друг друга.
  • Это предотвращает доступ неавторизованных лиц к данным или функциям, которыми они обмениваются, или манипулирование ими..

• Benefits of Authentication:

  • Data Integrity: Аутентификация предотвращает несанкционированную подделку данных.
  • Access Control: Аутентификация гарантирует, что только авторизованные лица могут получить доступ к конфиденциальной информации или выполнять критически важные функции.
  • Trustworthiness: Аутентификация другой стороны повышает доверие к взаимодействию между компонентами.

• Implementation and Testing:

  • Проанализируйте все соединения с внешними системами, содержащими конфиденциальную информацию или функции.
  • Убедитесь, что для каждого соединения используются механизмы шифрования (TLS) и аутентификации.

• Authentication Mechanisms:

  • Используйте надежные механизмы аутентификации, такие как API-ключи, токены, OAuth, JWT (JSON Web Tokens) или другие стандартные методы.

• Testing and Verification:

  • Тестируйте соединения, чтобы убедиться в том, что устанавливается зашифрованная связь и требуется аутентификация.
  • Убедитесь, что неавторизованные лица не могут получить доступ к конфиденциальной информации или выполнить критически важные действия.

• Regular Review and Updates:

  • Периодически пересматривайте и обновляйте механизмы и конфигурации аутентификации в приложении.

Remediation:

Чтобы выполнить требование и обеспечить аутентификацию всех зашифрованных соединений с внешними системами, содержащими конфиденциальную информацию или функции, выполните следующие действия:

1. Identify Relevant Connections:

• Определите все соединения с внешними системами, содержащими конфиденциальную информацию или критические функции.

2. Verify Authentication:

• Проанализируйте текущие механизмы аутентификации для каждого соединения, чтобы убедиться в том, что реализована надлежащая аутентификация.

3. Testing and Verification:

a. Audit Connections:

• Для каждого соединения, связанного с конфиденциальными данными или функциями, проверьте наличие надлежащих механизмов аутентификации.

b. Identify Missing or Weak Authentication:

• Выявить все соединения, в которых отсутствует аутентификация или используются слабые механизмы аутентификации.

c. Implement Strong Authentication:

•  Внедрите механизмы строгой аутентификации для каждого соединения (например, API-ключи, токены, OAuth, JWT).

d. Test Authentication:

•  Протестируйте каждое соединение, чтобы убедиться в необходимости надлежащей аутентификации и предотвратить несанкционированный доступ.

4. Encryption and TLS:

•     Убедитесь, что TLS (шифрование) правильно настроено для каждого соединения с конфиденциальной информацией или функциями.

5. Security Headers and HSTS:

• Внедрите заголовки безопасности и HTTP Strict Transport Security (HSTS) для обеспечения использования зашифрованных (HTTPS) соединений.

6. Regular Review and Updates:

•  Периодически просматривайте и обновляйте механизмы и конфигурации аутентификации в приложении.

7. Monitoring and Alerts:

•  Реализуйте мониторинг для обнаружения попыток несанкционированного доступа или аномалий в аутентифицированных соединениях.

8. Documentation and Training:

• Документируйте шаги, предпринятые для реализации строгой аутентификации для каждого соединения.

Пример демонстрирующий, как можно реализовать аутентифицированное и зашифрованное взаимодействие с внешним API с использованием JSON Web Tokens (JWT) и TLS-шифрования:

import requests

import jwt

# Define your secret key for JWT

SECRET_KEY = "your-secret-key"

def authenticate_and_send_request():

# Create a JWT token with relevant claims

payload = {"user_id": "12345", "permissions": ["read_data"]}

token = jwt.encode(payload, SECRET_KEY, algorithm="HS256")

# Set up your API endpoint

api_endpoint = "https://api.example.com/data"

# Create headers with the JWT token

headers = {"Authorization": f"Bearer {token}"}

try:

# Send a GET request with proper headers

response = requests.get(api_endpoint, headers=headers)

# Check if the response is successful

if response.status_code == 200:

print("Data received:", response.json())

else:

print("Failed to fetch data:", response.text)

except requests.exceptions.RequestException as e:

print("Request error:", e)

if __name__ == "__main__":

authenticate_and_send_request()

В данном примере:

• Мы используем библиотеку jwt для генерации JWT-токена с такими параметрами, как user_id и permissions.
• Токен отправляется в качестве механизма аутентификации с использованием в заголовке запроса "Bearer".
• Доступ к внешней конечной точке API осуществляется по протоколу HTTPS (зашифрованное соединение TLS).
• Ответ проверяется, и из успешного ответа извлекаются соответствующие данные.

Additional: