Segurança na Transloadit

A Transloadit usa UUIDv4 sem hífens para gerar esses IDs aleatoriamente. Adivinhar, ou gerar, um UUID que coincida com um dos nossos seria tão provável quanto gerar uma colisão. Isso é tão improvável que não é considerado um vetor de ataque viável⁠.

Como mantemos cerca de 5.000.000 Assemblies em armazenamento ativo a qualquer momento, as chances são, reconhecidamente, 5.000.000 vezes maiores de gerar uma colisão. Identificadores UUIDv4 aleatórios ainda tornam a adivinhação de um Assembly ID ativo computacionalmente inviável. Os limites de taxa oferecem uma defesa adicional, mas a cota de criação de Assembly não é um limite para consultas de Assembly Status. Consideramos que a adivinhação aleatória está longe de ser um vetor de ataque viável.

Para arquivos, a janela fica ainda menor, porque nós os removemos após 24 horas. Alguns motivos pelos quais optamos por fazer isso estão descritos aqui.

Além da possibilidade de adivinhar arquivos ou URLs de Assembly, é claro que existe a preocupação de que esses endereços vazem de alguma forma. Consideramos o ID de Assembly e a URL do arquivo como informações privadas. Eles são um segredo compartilhado entre a Transloadit, nosso cliente e, dependendo da sua integração, o usuário final específico para o qual o cliente está fornecendo os arquivos e executando a Assembly em seu nome.

Essa comunicação entre essas partes acontece por HTTPS, para o qual temos nota A+ no SSL Labs EN (English) em todos os aspectos. Se o HTTPS for usado na integração com a Transloadit e com o usuário final em todas as requisições envolvidas, as URLs das Assemblies e dos arquivos não podem vazar para além dessas partes confiáveis a ponto de se tornarem um vetor de ataque viável.

Depois, há a Transloadit para se analisar como parte confiável. Nossa política é que apenas os membros de confiança da nossa equipe principal têm acesso a esses arquivos para fins de depuração. Recebemos milhões de arquivos todos os dias e, para nós, eles são apenas UUIDs até que um cliente nos peça para olhar mais de perto.

Executamos nossos processos como usuários sem privilégios e fornecemos a eles as credenciais de que precisam. Um processo comprometido pode expor as credenciais que recebe sem acesso root. O acesso aos dados criptografados depende das permissões das credenciais roubadas e do acesso às chaves de descriptografia correspondentes. A criptografia em repouso não protege os dados de um atacante que consiga usar um caminho de leitura autorizado. Limitar credenciais e proteger processos continuam sendo práticas importantes, e nenhum sistema pode oferecer 100% de garantia de segurança.

Nossos endereços IP de saída mudam à medida que servidores são adicionados e removidos. Manter atualizada uma lista de permissões de firewall com os IPs de cada servidor pode resultar em conexões interrompidas.

Isso se aplica a conexões de saída, como 🤖/sftp/store, Assembly Notifications e 🤖/http/import.

Para exportações para o S3, armazene suas credenciais como Credenciais de Template e faça referência a elas nos seus Templates. As credenciais de armazenamento em nuvem salvas são criptografadas em repouso.

Limite o acesso da Transloadit ao bucket S3 e às permissões necessárias para seu fluxo de trabalho. Consulte a documentação do S3 Store para ver as permissões IAM necessárias.

A permissão s3:PutObject permite sobrescrever objetos existentes com a mesma chave; ela não limita o acesso à adição de novos arquivos.

Em primeiro lugar, não usamos MD5 para autenticação por assinatura nem para qualquer outra coisa que precise ser segura. Fornecemos hashes MD5 de arquivos como forma de detectar duplicatas vindas de fontes confiáveis, além de outros fins em que não há um caso de uso vantajoso para o vetor de ataque de calcular hashes com colisão.

Como o MD5 é mais rápido de calcular e ainda mais amplamente disponível do que, por exemplo, o SHA1, foi feita uma escolha deliberada ao fornecer hashes MD5 para os resultados de codificação. Nem é preciso dizer que, como o MD5 não é seguro, você não deve usar esses hashes como base para nada que seja sensível em termos de segurança na sua aplicação.