Server MCP non autenticato

Cos’è Server MCP non autenticato?

Un server MCP è un servizio di rete. Tutto ciò che può raggiungerlo può invocare i suoi strumenti a meno che il server non faccia provare al chiamante chi è, e l'approvazione da parte di un processo di governance non è quella prova. Troverai un server che risponde su una porta pubblica dove un elenco/strumenti non autenticati restituisce tutto ciò che raggiunge, inclusi gli strumenti di magazzino finanziario che restituiscono conti nominativi e valori dei contratti. È stato registrato e approvato, quindi vincolato a 0.0.0.0 per un pilota. Applicherai OAuth 2.1 al gateway e convaliderai il pubblico del token.

Cosa imparerai in Server MCP non autenticato

• Riconoscere che un server MCP è un servizio di rete i cui strumenti diventano un'interfaccia RPC aperta verso qualunque cosa si connettano quando il server non richiede autenticazione
• Comprendere perché l'approvazione e l'autenticazione del server sono controlli separati, in modo che un server approvato e inventariato possa comunque servire chiamanti anonimi e superare una revisione della governance
• Spiegare cosa rivela una risposta di strumenti/elenco non autenticati e perché la scoperta del protocollo smette di essere innocua una volta che qualcuno può chiedere
• Applica OAuth 2.1 come requisito di risorsa protetta e convalida il pubblico del token in modo che una credenziale emessa per un altro servizio venga rifiutata
• Riconoscere un trasporto legato a 0.0.0.0 come un difetto di distribuzione che sopravvive al progetto pilota per cui è stato creato ed è invisibile in un inventario
• Verificare una soluzione riproducendo la richiesta precedentemente riuscita, anziché fidarsi del flag di configurazione che dichiara di averlo modificato

Server MCP non autenticato — Fasi della formazione

1. Un host che non dovrebbe rispondere

   Bob è alla ricerca del canale di entrate di Sarnholt Systems: quali conti valgono cosa e quando ciascuno di essi si rinnova. Una scansione DNS passiva di sarnholt.com ha rilevato un host a cui nessuno dei servizi pubblicati dall'azienda punta.

2. Si presenta

   Il compito di un server MCP è dire a un client cosa può fare. Bob pone la stessa domanda che farebbe qualsiasi agente connesso e non invia credenziali di alcun tipo.

3. Chiamare quello che conta

   Gli strumenti di elencazione sono ricognitivi. Invocarne uno è l'attacco, e assume la stessa forma: una richiesta JSON-RPC sullo stesso endpoint aperto, con la stessa credenziale assente.

4. Entrate, a chiunque lo chieda

   Il magazzino ha risposto.

5. Verifica: cosa effettivamente non è riuscito

6. Anche qualcun altro l'ha trovato

   Alice mantiene in funzione i server MCP di Sarnholt: come vengono distribuiti, a cosa si collegano e cosa si trova di fronte a loro. La casella di posta elettronica di solito non è il luogo in cui inizia la sua mattinata.

7. Confermandolo dalla sua scrivania

   Una divulgazione è un reclamo finché qualcuno non la riproduce. Alice invia la stessa chiamata di rilevamento descritta nel rapporto, senza credenziali allegate.

8. Dove vive la risposta

   La correzione non viene eseguita manualmente sul server. Sarnholt gestisce ogni server MCP da un gateway che ne conserva la registrazione, le approvazioni e la politica di autenticazione e trasferisce tale politica a ciascun server.

9. Accesso al gateway

   La console del gateway è il luogo in cui viene configurata l'autenticazione del server per l'intero parco dispositivi.

10. Approvato e completamente aperto

    La console risponde alla domanda sollevata dalla divulgazione e la risposta è peggiore di quanto sarebbe stata una distribuzione non autorizzata.