Безсерверні надмірні привілеї

Що таке Безсерверні надмірні привілеї?

Функція — принципал. Його облікові дані ролі виконання є навколишніми, тому будь-хто, хто може запустити функцію, утримує роль, нічого не вкрадаючи. Це нормально, доки засіб зміни розміру зображень не матиме дозволи для всього облікового запису, зберігає секрети у змінних середовища та приймає неавтентифіковані запити. Ви побачите URL-адресу функції на панелі мережі браузера, спрацюєте залишковий прапор налагодження, який скидає середовище, і прочитаєте секрет виробництва як функцію. Потім ви присвоїте роль, вимагатимете автентифікації IAM і перемістите секрети до посилання менеджера.

Що ви дізнаєтесь у Безсерверні надмірні привілеї

• Функція є принципалом, а її облікові дані є навколишніми, тому виконання коду у функції є негайним доступом до її ролі.
• Секрети змінних середовища доступні кожному, хто може прочитати конфігурацію функції, і вони випливають на поверхню під час діагностики.
• Неавтентифікована URL-адреса функції перетворює внутрішню неправильну конфігурацію на доступну в Інтернеті.
• Визначення ролі має найбільше значення, оскільки воно обмежує шкоду, коли інші два елементи керування не працюють.

Безсерверні надмірні привілеї — Кроки навчання

1. Почніть там, де всі можуть дивитися

   Боба немає в Вейлріку. Він знаходиться на їхньому публічному сайті зі списком нерухомості, на тій самій сторінці, яку бачить будь-який покупець. Тут немає нічого привілейованого – саме тому він починає саме звідси.

2. Подивіться, що запитує сторінка

   Боб відкриває мережеву панель браузера та перезавантажує сторінку, щоб побачити запити, які робить галерея, перш ніж з’явиться зображення.

3. Відповідає будь-кому

   Боб викликає кінцеву точку безпосередньо зі свого комп’ютера без жодних облікових даних.

4. Прапор налагодження скидає свою ідентичність

   Боб додає параметр налагодження, про який йому повідомив сайт. Функція друкує все своє середовище.

5. Встановіть ідентичність функції

   Три значення AWS_ з дампа є повним робочим набором тимчасових облікових даних. Боб завантажує їх у названий профіль на своїй машині, і з цього моменту його CLI може виконувати функцію функції.

6. Стати функцією

   Профіль завантажено. Боб задає AWS перше запитання, яке ставить будь-який зловмисник із новим набором облікових даних: хто я зараз?

7. Як далеко досягає програма для створення мініатюр?

   Функція, яка записує мініатюри, має бачити одне відро. Боб просить усіх.

8. Візьміть коштовності корони

   Боб використовує цю роль, щоб прочитати секрет, який не має нічого спільного зі зміною розміру зображень.

9. Який збій завдав шкоди?

   Перед відповіддю назвіть, що призвело до того, що витік кінцевої точки став порушенням у виробництві.

10. Хтось використовує наш ключ Stripe

    Платіжний процесор Vaelrick позначив виклики API, підписані їхнім активним ключем із незнайомої адреси. Цей ключ зберігається в Secrets Manager, який має бути безпечним місцем для нього.