Nicht authentifizierter MCP-Server

Was ist Nicht authentifizierter MCP-Server?

Ein MCP-Server ist ein Netzwerkdienst. Alles, was ihn erreichen kann, kann seine Tools aufrufen, sofern der Server den Aufrufer nicht zwingt zu beweisen, wer er ist. Die Genehmigung durch einen Governance-Prozess ist kein solcher Beweis. Sie finden einen Server, der auf einem öffentlichen Port antwortet und dessen nicht authentifiziertes tools/list alles zurückgibt, was er erreicht, einschließlich Data-Warehouse-Tools mit benannten Konten und Vertragswerten. Er wurde registriert und genehmigt und dann für ein Pilotprojekt an 0.0.0.0 gebunden. Sie erzwingen OAuth 2.1 am Gateway und validieren die Token-Zielgruppe.

Was Sie lernen in Nicht authentifizierter MCP-Server

• Beachten Sie, dass ein MCP-Server ein Netzwerkdienst ist, dessen Tools zu einer offenen RPC-Schnittstelle für alles werden, mit dem sie eine Verbindung herstellen, wenn der Server keine Authentifizierung erfordert
• Verstehen Sie, warum Servergenehmigung und Serverauthentifizierung separate Kontrollen sind, sodass ein inventarisierter, genehmigter Server weiterhin anonyme Aufrufer bedienen und eine Governance-Überprüfung bestehen kann
• Erklären Sie, was eine nicht authentifizierte Tools-/Listenantwort verrät und warum die Protokollerkennung nicht mehr harmlos ist, sobald jemand danach fragen kann
• Wenden Sie OAuth 2.1 als Anforderung für geschützte Ressourcen an und validieren Sie die Token-Zielgruppe, sodass für einen anderen Dienst ausgestellte Zugangsdaten abgelehnt werden
• Erkennen Sie einen an 0.0.0.0 gebundenen Transport als Bereitstellungsfehler, der den Piloten, für den er erstellt wurde, überdauert und in einer Bestandsaufnahme unsichtbar ist
• Überprüfen Sie eine Behebung, indem Sie die zuvor erfolgreiche Anforderung erneut abspielen, anstatt dem Konfigurationsflag zu vertrauen, das behauptet, sie geändert zu haben

Nicht authentifizierter MCP-Server — Trainingsschritte

1. Ein Host, der nicht antworten sollte

   Bob ist auf der Suche nach der Umsatzpipeline von Sarnholt Systems: Welche Konten sind was wert und wann verlängert sich jedes Konto? Bei einem passiven DNS-Sweep von sarnholt.com wurde ein Host entdeckt, auf den keiner der veröffentlichten Dienste des Unternehmens verweist.

2. Es stellt sich vor

   Die Aufgabe eines MCP-Servers besteht darin, einem Client mitzuteilen, was er tun kann. Bob stellt ihm die gleiche Frage, die jeder verbundene Agent stellen würde, und sendet keinerlei Zugangsdaten.

3. Das entscheidende Tool aufrufen

   Das Auflisten von Tools ist Aufklärung. Das Aufrufen eines Tools ist der Angriff und folgt demselben Muster: einer JSON-RPC-Anfrage über denselben offenen Endpunkt ohne Zugangsdaten.

4. Umsatz für alle, die fragen

   Das Data Warehouse antwortete.

5. Was tatsächlich fehlgeschlagen ist

6. Jemand anderes hat es auch gefunden

   Alice hält die MCP-Server von Sarnholt am Laufen: wie sie bereitgestellt werden, woran sie sich binden und was sich vor ihnen befindet. Normalerweise beginnt ihr Morgen nicht mit dem Offenlegungspostfach.

7. Sie bestätigt es von ihrem eigenen Schreibtisch aus

   Eine Offenlegung ist ein Anspruch, bis ihn jemand reproduziert. Alice sendet denselben Erkennungsaufruf, den der Bericht beschreibt, ohne angehängte Zugangsdaten.

8. Wo die Antwort lebt

   Die Lösung wird nicht von Hand auf dem Server vorgenommen. Sarnholt verwaltet jeden MCP-Server von einem Gateway aus, das seine Registrierung, seine Genehmigungen und seine Authentifizierungsrichtlinie speichert und diese Richtlinie an jeden Server weitergibt.

9. Anmelden beim Gateway

   In der Gateway-Konsole wird die Serverauthentifizierung für die gesamte Flotte konfiguriert.

10. Genehmigt und weit offen

    Die Konsole beantwortet die durch die Offenlegung aufgeworfene Frage, und die Antwort ist schlimmer, als es bei einem betrügerischen Einsatz der Fall gewesen wäre.