Інструменти розробника · SHA калькулятор хешу
Встановити секрети в онлайн Hash інструменти: чому дайджест повинен бути місцевим
· Чому це питання
Опубліковано ToolAcre · Редакція журналу
шемале256 безпека конфіденційність веб-сайт
Якщо інструмент хешу відправляє ваш вхід на сервер, секрет, який ви вже залишили машину. Ця пошта пояснює ризик, як Web Crypto робить сервер непотрібним, і як перевірити інструмент локальним.
Мистецтво API ключ, який ви подали, щоб порівняти з файлом конфігурації - і де він пішов
Розробник повинен мати API ключ порівняти його з значенням, що зберігається в конфігурації, тому вони досягають для найближчого онлайн-інструменту. Вставте ключ, натисніть кнопку, і отримайте дайджест. У хеш-повідачі, тому тест проходить. Що вони, ймовірно, не розуміють, що API ключ вже залишив свою машину. Будь-який хеш інструмент, який працює на сервері, отримує доступ до plaintext до обчислення будь-якого травлення. Сервер може увійти, зберігати його, продати або переадресувати його на конкурентів.
Приймання є тонким, оскільки інструмент має можливість дійсно зробити правильний вихід і все ще відправлено вхід на сервер. Математична операція хешування є незалежно від місця розташування, тому серверний стороні хеш є криптографічно правильним, навіть якщо архітектура є неприпустимою. Атакувальник не потребує пошкодженого розрахунку хешу, щоб виграти, вони просто повинні мати вхід зі звичайною текстурою. Розробник, який приймає інструмент хешу, є локальним, оскільки вихід правильний, довіряє неправильному об'єкту.
Що отримує серверний інструмент – повне введення plaintext, за визначенням, перед будь-яким перетравнем
Сервер-за межами хеш-сервера вимагає введення plaintext як вхід, за визначенням. Сервер отримує його над HTTPS, яка захищає її в транзиті, але тільки до моменту отримання сервера. Після входу в сервер, який зберігається в пам'яті під час хешування, потенційно письмово записаний на диск, і включений в будь-які резервні копії або контрольних слідів, що зберігаються на сервері. Компанія, яка працює на сервері, може прочитати журнали і подивитися кожен секрет, який був там.
Альтернативою є використання Web Crypto, який є власні криптографічні імплементації браузера. На захищеному поході, що означає HTTPS або локальнийhost, браузер виставляє crypto.subtle.digest, функція, яка обчислює SHA-1, SHA-256, SHA-384 і SHA-512 повністю перетравлює в процесі браузера. Ввод ніколи не залишає пристрою, і не береться на сервер. Реалізація браузера здійснюється за допомогою постачальників веб-переглядачів, які виправили постачальниками веб-переглядачів, а також працює як оптимізований для користувача код, а не відправлений JavaScript.
Чому сервер непотрібний — власне веб-браузер, що відповідає кожному SHA-2 змішувати локально
Перевірити, що інструмент хешу локальний вимагає лише відкриття мережевої панелі DevTools і перегляду того, що інструмент надішле через мережу. У більшості браузерів DevTools відкривається з F12 або Cmd + Option + I і вкладка мережі є місцем для перегляду мережевого трафіку. З відкритою вкладкою мережі і видимим інструментом, вставте звичайний текст, натисніть кнопку хеш і подивіться, що відбувається. Якщо використовується локальний інструмент, мережева панель не показує нових запитів.
Цей метод перевірки працює, оскільки браузери реалізують однаково-розпоряджувальний обмеження. Сторінка може зробити запити на власне походження без запуску CORS питання, тому локальний інструмент може зробити запити на сервер на одному домені, якщо він хотів. Коли з'являється мережевий запит у панелі DevTools, доведе, що інструмент надсилає дані десь. Розробник, який перевіряє це і бачить, що жодна мережа трафіку не має міцного забезпечення, що вхід не залишає браузера. Мистецтво ToolAcre SHA у разі виникнення проблем, на жаль, у випадку, якщо є можливість отримати доступ до мережі.
Перевірити з мережевою панеллю — гасіння, перегляд та перегляд нульових запитів
Політика безпеки контенту може забезпечити додаткове забезпечення за межами мережевої панелі. Політика безпеки контенту - це HTTP заголовок, який сервер надсилає, декларуючи домени, браузер повинен дозволити завантажувати скрипти та зробити запити. Політика, яка містить всі зовнішні скрипти, всі зовнішні таблиці, і всі форми, що подаються до зовнішніх кордонів, які можна зробити. Атакувальник не може відправляти шкідливий код, який надішляє вхід на зовнішній сервер, якщо політика забороняє зовнішній запит.
Керівники політики безпеки контенту надсилаються з HTTP відповідь і може бути перевірено в розділі "Відповіді" вкладки DevTools. Лінія, як Content-Security-Policy: типовий-штурний 'self'; скрипт-сектор 'self' оголошує, що скрипти можуть бути тільки з одного походження. У строгій політиці, яка включає в себе кадр-просторінки 'ON' запобігає сторінок, що знаходиться в рамці, яка блокує один атакний вектор, якщо шкідливий ірамка намагається вкрасти фокус. Ці деталі корисні для розуміння захисних засобів, але перевірка мережевої панелі залишається основною перевіркою.
CSP захист у глибини; джерела репозиторій, що читають тут, не встановлюються
Приклад роботи: задання API ключ від AWS або Azure в Azure ToolAcre SHA калькулятор хешу для перевірки його на збережений відбитк. Відкрийте DevTools, виберіть вкладку мережі, і переконайтеся, що це запис. Поставити API ключ в хеш інструмент, виберіть SHA-256і натисніть кнопку хеш. Засвоюється перетравлення в інструменті, а мережева панель не показує нових запитів. Вектор тесту доступний в документації інструменту на перехресну точну правильність хешу, якщо необхідно. Ключова точка полягає в тому, що API ключ ніколи не залишив браузер, і дайджест тепер може бути порівнюється від збереженого значення без коли-небудь викривлення секрету.
Якщо це робоче покриття не є, якщо розширення браузера було порушено або якщо сам браузер був порушений. Для всіх користувачів, які використовують для всіх користувачів, необхідного для розширення, для підключення до Інтернету та перегляду параметрів, що є користувачем. Якщо ви не хочете, щоб ви могли б бути впевнені, що це буде дуже добре. Для цих загроз не можна забезпечити захист від веб-інструменту. Правильний захист - це довірити установку браузера, зберегти його оновлення, а також переглядати встановлені розширення.
У роботі приклад: використовуйте нешкідливий маркер і огляд запитів, а не записати живий API головна
Поради для всіх, хто задає секрети в інструменти, щоб переконатися, що інструмент локальний перед пасуванням. Це простий крок, який усуває одновеликий ризик: оператор сервера, їх співробітники, їх резервні копії, і їх журнали, які ви бачите звичайний текст. Використовуйте мережеву панель DevTools, див. на нульові запити, а потім довірте інструмент з секретом. Мистецтво ToolAcre SHA калькулятор хешу призначений для використання цього способу. Не дано нічого, ніж нічого, і мережева панель залишається порожнім.
Для розробників, які вже засвідчили секрети в серверно-заміські інструменти, наступний крок полягає в обертанні секретів. Анонім API ключ, який був відправлений на невідомий сервер, повинен бути припущений до компромісу. Для цього необхідно відкликати, і новий слід видати. Для зміни паролів необхідно змінити. SSH ключі слід замінити. Для статичних секретів, таких як інфраструктура API ключі, це одноразова операція. Для сеансу токени або тимчасових критеріїв обертання відбувається автоматично, як токени закінчуються.
Що це не криється — розширення браузера та роз'ємні машини, які не можуть захистити веб-інструмент
Надання довіри в онлайн-інструментах починається з розуміння, де відбувається обчислення та перевірки, що розуміння з інструментами розробника веб-переглядача. У мережі є чіткий сигнал: якщо дані не залишають браузер, то з'явиться там. Якщо не існує запиту, що містить відмінний вхід тесту, що сеанс надає докази для локального шляху перетворення. Не гарантується розширення, підпорядкований код браузера або майбутні розгортання. У поєднанні з переглядом коду джерела, якщо є можливість впевненості.
Для організацій, які оцінюють криптографічні інструменти для використання з конфіденційними даними, принцип залишається таким же: перевірити, що розрахунок відбувається, де ви контролюєте. Для фізичних осіб, які мають API ключ або перевірка файлу, скористайтеся функцією автоматичного перевірки мережевих панелей. Для виробничих систем HMAC або підписи замість звичайних хешів для автентифікації. Мистецтво ToolAcre SHA калькулятор хешу є одним інструментом для навчання та для локального розрахунку травлення. Не підходить для аутентифікації виробництва.
Поруч: перевірити, потім довірити — ToolAcre SHA у вашому браузері немає нічого, ніж будь-який з візитів
Принцип прозорості центральний ToolAcre підхід: кожен документ, який він робить, що забезпечує браузер, і що розробник повинен робити. Мистецтво SHA хеш калькулятор документів, які він використовує веб-браузер для реалізації веб-крипту веб-браузера для SHA-256, SHA-384 і SHA-512і що не реалізовано HMAC або ключове видалення. Для хешування інструмент точний. Для автентифікації розробники повинні шукати в іншому місці. Ця чіткість запобігає згубленню, яка виникає при спробі зробити занадто багато.
Коли розробник бачить, що мережева панель є порожнім і вихідним кодом, довіра відносин знаходиться на твердому фундаменті. Інструмент, який він стверджує: компute має локально використовувати власний веб-переглядач. Після цього розробник може прийняти рішення про те, чи підходить інструмент для їх використання. Для перевірки API ключ, він ідеально підходить. Для автентифікації виробництва, HMAC потрібно. Для зберігання паролів потрібна функція видалення ключів, як Argon2id. Знаючи ці межі є першим кроком до побудови захищених систем.