Was ist ein Auth Secret?
Ein Auth Secret ist der private Teil eines Workspace-spezifischen Paars aus Auth Key und Auth Secret und bei sicherer Automatisierung mit einem Passwort vergleichbar. Es muss vertraulich bleiben und kann bei einer Kompromittierung neu generiert werden; ein Workspace kann mehrere aktive Schlüsselpaare besitzen.
So funktionieren Auth Secrets
Das Auth Secret ist der private Eingabewert, mit dem vertrauenswürdiger Code Anfragesignaturen für seinen Workspace erzeugt. Der Dienst kann diese Signaturen verifizieren, ohne dass die Zugangsdaten als gewöhnliche Anfragedaten übertragen werden. Das Auth Secret gehört daher in einen serverseitigen Speicher für sensible Zugangsdaten. Der zugehörige öffentliche Auth Key und kurzlebige signierte Parameter, die an einen Client übermittelt werden, sind vom Auth Secret zu unterscheiden. Die Auswahl des Geheimschlüssels für Webhooks unterscheidet sich zwischen einer erstmaligen Notification, auch nach der erneuten Ausführung einer Assembly, und dem erneuten Senden einer Notification. Beim erneuten Senden kann ein früherer Schlüssel verwendet oder auf das Auth Secret des aufrufenden Akteurs zurückgegriffen werden. Befolgen Sie die Verifizierungsspezifikation für Webhooks und wählen Sie die jeweils geltenden Geheimschlüssel aus der vertrauenswürdigen serverseitigen Konfiguration für den erwarteten Workspace und die erwartete Assembly aus, niemals aus unverifizierten Feldern der Nutzdaten. Die Rotation muss zwischen Signaturerzeugern und Webhook-Empfängern abgestimmt werden.
Wichtige Fakten
- 1Wird der Geheimschlüssel in Browser-JavaScript oder eine mobile Binärdatei eingebettet, lässt er sich extrahieren. Für Uploads durch Clients sollten stattdessen serverseitig erzeugte, signierte Anfragedaten bereitgestellt werden.
- 2Wird ein Geheimschlüssel innerhalb seines bestehenden Schlüsselpaars neu generiert, werden Signaturen ungültig, die mit dem vorherigen Wert erstellt wurden. Fügen Sie für eine geplante Rotation ein weiteres Schlüsselpaar hinzu und stellen Sie die Signaturerzeuger darauf um. Bevor Sie das alte Paar außer Betrieb nehmen, berücksichtigen Sie noch ausstehende signierte Anfragen und URLs und aktualisieren Sie Webhook-Empfänger für erstmalige und erneut gesendete Notifications, die möglicherweise noch dessen Geheimschlüssel benötigen. Falls erforderlich, identifizieren Sie das Paar anhand von
auth_key, auch in signierten URLs für Smart CDN. - 3Sensible Angaben müssen aus Logs, Fehlerberichten und Observability-Nutzdaten entfernt oder maskiert werden, da eine versehentliche Erfassung bei der Diagnose die Zugangsdaten kompromittieren kann, selbst wenn der Quellcode keine solchen Angaben enthält.
Wann Auth Secrets relevant sind
Bewahren Sie das Auth Secret auf vertrauenswürdigen Servern auf und signieren Sie damit Anfragen, ohne es Browsern oder mobilen Clients offenzulegen. Wählen Sie zur Webhook-Verifizierung den jeweils geltenden Geheimschlüssel gemäß der Verifizierungsspezifikation für Webhooks aus der vertrauenswürdigen serverseitigen Konfiguration aus. Rotieren Sie einen offengelegten Geheimschlüssel umgehend und aktualisieren Sie jede davon abhängige Integration.