ಅಪ್ಲಿಕೇಶನ್, API, ಅಥವಾ ಬ್ರೌಸರ್ ಏಜೆಂಟ್ ಭದ್ರತಾ ಅಪಾಯ ಸಂಭವಿಸಿದಾಗ CI/CD pipeline ದೃಢೀಕರಣ ಅಥವಾ ಅಧಿಕಾರೀಕರಣವನ್ನು ಮಾಡಲು ಬಳಕೆದಾರ-ಏಜೆಂಟ್ ಹೆಡರ್ ಅನ್ನು ಬಳಸುತ್ತದೆ decisಅಯಾನ್, ಆ ಹೆಡರ್ ಕ್ಲೈಂಟ್-ಸರಬರಾಜು ಮಾಡಿದ ಸ್ಟ್ರಿಂಗ್ ಆಗಿದ್ದರೂ ಸಹ, ಯಾವುದೇ ವಿನಂತಿಯನ್ನು ಮುಕ್ತವಾಗಿ ಪುನಃ ಬರೆಯಬಹುದು.
ಬಳಕೆದಾರ-ಏಜೆಂಟ್ ಟ್ರಸ್ಟ್ನ ಹಿಂದಿನ ಗುಪ್ತ ಅಪಾಯ
ಹಲವು ವೆಬ್ ಅಪ್ಲಿಕೇಶನ್ಗಳು, API ಗಳು, ಮತ್ತು CI/CD ವೆಬ್ನ ಆರಂಭಿಕ ದಿನಗಳಲ್ಲಿ ಉಳಿದಿರುವ ಊಹೆಯಂತೆ, ವಿನಂತಿಯನ್ನು ಯಾರು ಮಾಡುತ್ತಿದ್ದಾರೆ ಎಂಬುದನ್ನು ಗುರುತಿಸಲು ವ್ಯವಸ್ಥೆಗಳು ಇನ್ನೂ ಬಳಕೆದಾರ-ಏಜೆಂಟ್ ಹೆಡರ್ ಅನ್ನು ನಂಬುತ್ತವೆ. ಆದರೆ DevSecOps ಪ್ರಪಂಚ, ಆ ಊಹೆ ಅಪಾಯಕಾರಿ. ಕೋಡ್ ಮಾಡಿದಾಗಲೆಲ್ಲಾ ಬ್ರೌಸರ್ ಏಜೆಂಟ್ ಭದ್ರತಾ ಅಪಾಯ ಕಾಣಿಸಿಕೊಳ್ಳುತ್ತದೆ, pipelines, ಅಥವಾ API ಗಳು ತರ್ಕವನ್ನು ಅನ್ವಯಿಸಲು ಅಥವಾ ಭದ್ರತಾ ನೀತಿಗಳನ್ನು ಜಾರಿಗೊಳಿಸಲು ಬಳಕೆದಾರ-ಏಜೆಂಟ್ ಸ್ಟ್ರಿಂಗ್ಗಳನ್ನು ಬಳಸುತ್ತವೆ. ಉದಾಹರಣೆಗೆ:
- ಕಟ್ಟಡ API ಗಳು "ವಿಶ್ವಾಸಾರ್ಹ ಏಜೆಂಟ್ಗಳಿಂದ" ಮಾತ್ರ ವಿನಂತಿಗಳನ್ನು ಅನುಮತಿಸಬಹುದು.
- ಆರ್ಟಿಫ್ಯಾಕ್ಟ್ ರೆಪೊಸಿಟರಿಗಳು ನಿರ್ದಿಷ್ಟ ಬಳಕೆದಾರ ಏಜೆಂಟ್ಗಳನ್ನು ಶ್ವೇತಪಟ್ಟಿ ಮಾಡಬಹುದು.
- ಭದ್ರತಾ ಫಿಲ್ಟರ್ಗಳು ಹೆಡರ್ ಆಧರಿಸಿ ವಿನಂತಿಗಳನ್ನು ನಿರ್ಬಂಧಿಸಬಹುದು ಅಥವಾ ದರ-ಮಿತಿಗೊಳಿಸಬಹುದು.
ಆದರೆ ಬಳಕೆದಾರ-ಏಜೆಂಟ್ ಹೆಡರ್ ಕೇವಲ ಒಂದು ಸ್ಟ್ರಿಂಗ್ ಆಗಿದ್ದು, ಯಾವುದೇ ದಾಳಿಕೋರರು ಅದನ್ನು ಮಾರ್ಪಡಿಸಬಹುದು.
⚠️ ಅಸುರಕ್ಷಿತ ಉದಾಹರಣೆ, ಶೈಕ್ಷಣಿಕ ಉದ್ದೇಶಗಳಿಗಾಗಿ ಮಾತ್ರ. ಉತ್ಪಾದನೆಯಲ್ಲಿ ಬಳಸಬೇಡಿ.
ನಿಮ್ಮ ಬ್ಯಾಕೆಂಡ್ ಅಥವಾ pipeline ತರ್ಕವು ಬಳಕೆದಾರ-ಏಜೆಂಟ್ ಸ್ಟ್ರಿಂಗ್ ವಿಶ್ವಾಸಾರ್ಹ ಮೂಲವನ್ನು ಗುರುತಿಸುತ್ತದೆ ಎಂದು ಊಹಿಸುತ್ತದೆ, ನೀವು ಈಗಾಗಲೇ ಬ್ರೌಸರ್ ಏಜೆಂಟ್ ಭದ್ರತಾ ಅಪಾಯವನ್ನು ರಚಿಸಿದ್ದೀರಿ ಅದು ಪೂರೈಕೆ ಸರಪಳಿ ರಾಜಿಗೆ ಕಾರಣವಾಗಬಹುದು.
ಬಳಕೆದಾರ-ಏಜೆಂಟ್ ವಂಚನೆಯು ಆಚರಣೆಯಲ್ಲಿ ಹೇಗೆ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತದೆ
ಬಳಕೆದಾರ ಏಜೆಂಟ್ ಸ್ಪೂಫರ್ ಬ್ರೌಸರ್ ವಿಸ್ತರಣೆ, ಮಾರ್ಪಡಿಸಿದ HTTP ಕ್ಲೈಂಟ್ ಅಥವಾ ಕಾನೂನುಬದ್ಧ ಬಿಲ್ಡ್ ಟ್ರಾಫಿಕ್ ಅನ್ನು ಅನುಕರಿಸಲು ಕಾನ್ಫಿಗರ್ ಮಾಡಲಾದ ಸ್ವಯಂಚಾಲಿತ ಬಾಟ್ನಂತೆ ಸರಳವಾಗಿರಬಹುದು.
ದಾಳಿಕೋರರು ಬಳಕೆದಾರ ಏಜೆಂಟ್ ವಂಚನೆಯನ್ನು ಬಳಸುತ್ತಾರೆ:
- ನಿರ್ದಿಷ್ಟ ಹೆಡರ್ಗಳನ್ನು ನಂಬುವ API ಗಳಲ್ಲಿ ಪ್ರವೇಶ ಫಿಲ್ಟರ್ಗಳನ್ನು ಬೈಪಾಸ್ ಮಾಡಿ
- ಅನುಕರಣೆ ಬಿಲ್ಡ್ ಸಿಸ್ಟಮ್ಗಳು (ಉದಾ. ಜೆಂಕಿನ್ಸ್, ಗಿಟ್ಹಬ್ ಆಕ್ಷನ್ಸ್, ಅಥವಾ ಗಿಟ್ಲ್ಯಾಬ್ ರನ್ನರ್ಗಳು)
- ಸುತ್ತುವರಿಯುವ ದರ ಮಿತಿಗಳು ಅಥವಾ ಭದ್ರತಾ ವಿಶ್ಲೇಷಣಾ ಪರಿಕರಗಳು
- "ಅಧಿಕೃತ" ಏಜೆಂಟ್ಗಳಿಗಾಗಿ ಕಾಯ್ದಿರಿಸಿದ ಬ್ಯಾಕೆಂಡ್ ಕ್ರಿಯೆಗಳನ್ನು ಟ್ರಿಗ್ಗರ್ ಮಾಡಿ.
// Attacker sets the User-Agent to impersonate a trusted CI system
curl -A "Jenkins-Agent/2.4" https://internal-api.example.com/build/trigger// Instead of trusting the header, validate a signed request token
if not verify_signature(request.headers["X-Signature"], shared_secret):
reject(request)ಬಳಕೆದಾರ ಏಜೆಂಟ್ ವಂಚನೆ ಕ್ಷುಲ್ಲಕ; ನಿಜವಾದ ಗುರುತಿನ ದೃಢೀಕರಣ ಅಲ್ಲ.
ನೈಜ ಬ್ರೌಸರ್ ಏಜೆಂಟ್ ಭದ್ರತಾ ಅಪಾಯಗಳು CI/CD ಮತ್ತು ಪೂರೈಕೆ ಸರಪಳಿಗಳು
ಬ್ರೌಸರ್ ಏಜೆಂಟ್ ಭದ್ರತಾ ಅಪಾಯವು ನಿರ್ಮಾಣ ಮೂಲಸೌಕರ್ಯ ಅಥವಾ ಕಲಾಕೃತಿ ವಿತರಣೆಯ ಮೇಲೆ ಪರಿಣಾಮ ಬೀರಿದಾಗ ನಿರ್ಣಾಯಕವಾಗುತ್ತದೆ. pipelineರು. ಇನ್ CI/CD ಪರಿಸರದಲ್ಲಿ, ವಿನಂತಿಗಳು ಹೆಚ್ಚಾಗಿ ಸ್ವಯಂಚಾಲಿತ ಏಜೆಂಟ್ಗಳಿಂದ ಬರುತ್ತವೆ ಮತ್ತು ದಾಳಿಕೋರರು ಆ ನಂಬಿಕೆಯ ಮಿತಿಯನ್ನು ಬಳಸಿಕೊಳ್ಳುತ್ತಾರೆ. ನಿಜವಾದ ಉದಾಹರಣೆಗಳು ಸೇರಿವೆ:
- ಕಲಾಕೃತಿ ನೋಂದಣಿಗಳಿಗೆ ನಕಲಿ ನಿರ್ಮಾಣ ವಿನಂತಿಗಳು
- ಅವಲಂಬನೆ ಕನ್ನಡಿ ದುರುಪಯೋಗ
- Pipeline ಸೋಗು ಹಾಕುವಿಕೆ
// Registry verifies a signed provenance attestation instead of trusting a header
if not verify_attestation(request.artifact, build_provenance):
reject_artifact_upload(request)ಒಂದೇ ಒಂದು ವಂಚನೆಯ ವಿನಂತಿಯು ದುರುದ್ದೇಶಪೂರಿತ ಅವಲಂಬನೆಯನ್ನು ನೇರವಾಗಿ ಉತ್ಪಾದನೆಗೆ ಸೇರಿಸಬಹುದು. pipelines, ಬ್ರೌಸರ್ ಏಜೆಂಟ್ ಭದ್ರತಾ ಅಪಾಯವು ಪೂರೈಕೆ ಸರಪಳಿ ಉಲ್ಲಂಘನೆಗೆ ಕಾರಣವಾಗುವ ಪ್ರಮುಖ ಉದಾಹರಣೆಯಾಗಿದೆ.
ಭದ್ರತಾ ನಿಯಂತ್ರಣವಾಗಿ ಮೂಲ ಹೆಡರ್ ಮೌಲ್ಯೀಕರಣ ಏಕೆ ವಿಫಲಗೊಳ್ಳುತ್ತದೆ
ಏಜೆಂಟ್ ವಿನಂತಿಗಳನ್ನು ಮೌಲ್ಯೀಕರಿಸಲು ಡೆವಲಪರ್ಗಳು ಕೆಲವೊಮ್ಮೆ ಹೆಡರ್-ಆಧಾರಿತ ರೆಜೆಕ್ಸ್ ಫಿಲ್ಟರ್ಗಳು ಅಥವಾ ಸ್ಟ್ಯಾಟಿಕ್ ಲೈಟ್ಲಿಸ್ಟ್ಗಳನ್ನು ಅವಲಂಬಿಸಿರುತ್ತಾರೆ. ದುರದೃಷ್ಟವಶಾತ್, ಇದು ಬಳಕೆದಾರ ಏಜೆಂಟ್ ವಂಚನೆಯ ವಿರುದ್ಧ ಶೂನ್ಯ ರಕ್ಷಣೆಯನ್ನು ನೀಡುತ್ತದೆ. ಸ್ಥಾಯೀ ಪರಿಶೀಲನೆಗಳು ಹೀಗಿವೆ:
⚠️ Regex-ಆಧಾರಿತ ಮೌಲ್ಯೀಕರಣವು ದೃಢೀಕರಣವಲ್ಲ. ಯಾವುದೇ ದಾಳಿಕೋರರು ನಕಲಿ ಬಳಕೆದಾರ-ಏಜೆಂಟ್ ಸ್ಟ್ರಿಂಗ್ನೊಂದಿಗೆ ನಿರೀಕ್ಷಿತ ಮಾದರಿಯನ್ನು ಅನುಕರಿಸಬಹುದು.
ಇದರೊಂದಿಗೆ ಕ್ಷುಲ್ಲಕವಾಗಿ ಬೈಪಾಸ್ ಮಾಡಬಹುದು:
ಈ ರೀತಿಯ ತರ್ಕವು ಸುಳ್ಳು ನಂಬಿಕೆಗೆ ಕಾರಣವಾಗುತ್ತದೆ ಮತ್ತು ಬ್ರೌಸರ್ ಏಜೆಂಟ್ನ ಹೆಚ್ಚಿನ ಭದ್ರತಾ ಅಪಾಯಕ್ಕೆ ಕಾರಣವಾಗುತ್ತದೆ ಏಕೆಂದರೆ ಕಳುಹಿಸುವವರು ತಾನು ಎಂದು ಹೇಳಿಕೊಳ್ಳುವವರೇ ಎಂದು ಯಾವುದೂ ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ.
ಸಹಿ ಮಾಡಿದ ವಿನಂತಿಗಳು ಮತ್ತು ಕಲಾಕೃತಿ ಸಮಗ್ರತೆಯೊಂದಿಗೆ ಮೌಲ್ಯೀಕರಣವನ್ನು ಬಲಪಡಿಸುವುದು - ಬ್ರೌಸರ್ ಏಜೆಂಟ್ ಭದ್ರತಾ ಅಪಾಯವನ್ನು ತಪ್ಪಿಸಿ
ಬಳಕೆದಾರ-ಏಜೆಂಟ್ ಮೌಲ್ಯಗಳನ್ನು ನಂಬುವ ಬದಲು, ಡೆವಲಪರ್ಗಳು ಕ್ರಿಪ್ಟೋಗ್ರಾಫಿಕ್ ಮತ್ತು ಸಂದರ್ಭೋಚಿತ ಮೌಲ್ಯೀಕರಣದ ಮೂಲಕ ಪ್ರತಿ ವಿನಂತಿಯ ಮೂಲವನ್ನು ಪರಿಶೀಲಿಸಬೇಕು. ಬ್ರೌಸರ್ ಏಜೆಂಟ್ ಭದ್ರತಾ ಅಪಾಯವನ್ನು ಕಡಿಮೆ ಮಾಡುವ ಪ್ರಮುಖ ತಂತ್ರಗಳು:
- ಮ್ಯೂಚುಯಲ್ TLS (mTLS)
- ಸಹಿ ಮಾಡಿದ ಮೆಟಾಡೇಟಾ ಅಥವಾ ವಿನಂತಿಗಳು (AWS SigV4, HMAC, JWT)
- ಕಲಾಕೃತಿ ಸಹಿ ಮತ್ತು ಪರಿಶೀಲನೆ
- ಸ್ಕೋಪ್ಡ್ API ಟೋಕನ್ಗಳು
- ಬ್ಯಾಂಡ್-ಆಫ್-ಬ್ಯಾಂಡ್ ಪರಿಶೀಲನೆ
ಈ ಹಂತಗಳು ಬಳಕೆದಾರ ಏಜೆಂಟ್ ಸ್ಪೂಫರ್ ವಿಶ್ವಾಸಾರ್ಹ ಹೆಡರ್ ಅನ್ನು ಅನುಕರಿಸಿದರೂ ಸಹ, ಸಿಸ್ಟಮ್ ದೃಢೀಕರಿಸದ ಅಥವಾ ಸಹಿ ಮಾಡದ ಟ್ರಾಫಿಕ್ ಅನ್ನು ತಿರಸ್ಕರಿಸುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸುತ್ತದೆ.
DevSecOps ನಲ್ಲಿ ಪತ್ತೆ ಮತ್ತು ತಡೆಗಟ್ಟುವಿಕೆಯನ್ನು ಸಂಯೋಜಿಸುವುದು Pipelines
ಬಳಕೆದಾರ ಏಜೆಂಟ್ ವಂಚನೆ ಪತ್ತೆಹಚ್ಚುವಿಕೆ ನಿಮ್ಮ ಭಾಗವಾಗಿರಬೇಕು CI/CD ಟೆಲಿಮೆಟ್ರಿ ಮತ್ತು ನಿರಂತರ ದೃಢೀಕರಣ.
DevSecOps ತಂಡಗಳು ಈ ಕೆಳಗಿನಂತಹ ನಿಯಂತ್ರಣಗಳನ್ನು ಎಂಬೆಡ್ ಮಾಡಬಹುದು:
- ಸ್ವಯಂಚಾಲಿತ ವಿನಂತಿ ಮೌಲ್ಯೀಕರಣ
- ದೂರಮಾಪನ ಪರಸ್ಪರ ಸಂಬಂಧ
- ಅಸಂಗತತೆ ಪತ್ತೆ
- ಸಂದರ್ಭೋಚಿತ ನೀತಿ ಜಾರಿ
// CI step fails the build if request signatures aren't verified
- name: Verify request provenance
run: xygeni verify-attestation --fail-on unsignedಪತ್ತೆ ಮತ್ತು ನೀತಿ ಜಾರಿಗೊಳಿಸುವಿಕೆಯನ್ನು ಸಂಯೋಜಿಸುವುದರಿಂದ ಬ್ರೌಸರ್ ಏಜೆಂಟ್ ಭದ್ರತಾ ಅಪಾಯಗಳು ನಿಮ್ಮ pipelineಗಳು ಅಥವಾ ಕಲಾಕೃತಿ ವಿತರಣೆ.
ಹೆಡರ್ ಅನ್ನು ನಂಬಬೇಡಿ, ಮೂಲವನ್ನು ಪರಿಶೀಲಿಸಿ.
ಪ್ರತಿ ಬಳಕೆದಾರ ಏಜೆಂಟ್ ಹೆಡರ್ ಸುಳ್ಳು ಹೇಳಬಹುದು. ಪ್ರತಿಯೊಬ್ಬ ಬಳಕೆದಾರ ಏಜೆಂಟ್ ಸ್ಪೂಫರ್ ಕಾನೂನುಬದ್ಧತೆಯನ್ನು ನಕಲಿ ಮಾಡಬಹುದು. ಮತ್ತು ಪ್ರತಿ ಬ್ರೌಸರ್ ಏಜೆಂಟ್ ಭದ್ರತಾ ಅಪಾಯವು ಪರಿಶೀಲಿಸದ ಯಾವುದನ್ನಾದರೂ ನಂಬುವುದರಿಂದ ಬರುತ್ತದೆ. ಪರಿಹಾರವು ಹೆಡರ್ ಅನ್ನು ತೆಗೆದುಹಾಕುವುದರ ಬಗ್ಗೆ ಅಲ್ಲ; ಇದು ದೃಢೀಕರಣ ಅಥವಾ ನೀತಿ ಜಾರಿಗಾಗಿ ಅದನ್ನು ನಂಬದಿರುವ ಬಗ್ಗೆ. ಬದಲಾಗಿ, ಸಹಿ ಮಾಡಿದ ವಿನಂತಿಗಳನ್ನು ಕಾರ್ಯಗತಗೊಳಿಸಿ, ಗುರುತಿನ ಮೌಲ್ಯೀಕರಣವನ್ನು ಜಾರಿಗೊಳಿಸಿ, ಮತ್ತು ನಿಮ್ಮ ಮೇಲ್ವಿಚಾರಣೆ ಮಾಡಿ CI/CD ಸಂಚಾರ ವಂಚನೆಯ ಮಾದರಿಗಳಿಗಾಗಿ.
ಕ್ಸಿಜೆನಿ Build Security ಕೀಲಿ ರಹಿತ ಕಲಾಕೃತಿ ಸಹಿ ಮೂಲಕ ನಿರ್ಮಾಣ ಸಮಗ್ರತೆಯನ್ನು ಪರಿಶೀಲಿಸುತ್ತದೆ ಮತ್ತು SLSA provenance, ಆದ್ದರಿಂದ ವಿನಂತಿ ಅಥವಾ ಕಲಾಕೃತಿಯನ್ನು ವಿಶ್ವಾಸಾರ್ಹವೆಂದು ಪರಿಗಣಿಸಲಾಗುತ್ತದೆ ಏಕೆಂದರೆ ಅದು ಕ್ರಿಪ್ಟೋಗ್ರಾಫಿಕ್ ಆಗಿ ದೃಢೀಕರಿಸಲ್ಪಟ್ಟಿದೆ, ಅದು ಕಳುಹಿಸಿದ ಹೆಡರ್ನಿಂದಲ್ಲ. ಕ್ಸಿಜೆನಿಯ ಅಸಂಗತತೆ ಪತ್ತೆ ಮೇಲೆ ವರ್ತನೆಯ ಮೇಲ್ವಿಚಾರಣೆಯನ್ನು ಪದರಗಳು, ನಿಮ್ಮಾದ್ಯಂತ ಅಸಾಮಾನ್ಯ ಚಟುವಟಿಕೆಯನ್ನು ಫ್ಲ್ಯಾಗ್ ಮಾಡುವುದು CI/CD ಮೂಲಸೌಕರ್ಯ, ಅಂದರೆ ಒಂದು ಕೆಲಸ ಅಥವಾ ಏಜೆಂಟ್ ತನ್ನ ಸಾಮಾನ್ಯ ಮಾದರಿಯ ಹೊರಗೆ ನೈಜ ಸಮಯದಲ್ಲಿ ಕಾರ್ಯನಿರ್ವಹಿಸುವಂತೆ.
ಊಹೆಗಳನ್ನು ಅವಲಂಬಿಸಬೇಡಿ, ಪ್ರತಿಯೊಂದು ಮೂಲವನ್ನು ಪರಿಶೀಲಿಸಿ. ಉಚಿತವಾಗಿ ಪ್ರಾರಂಭಿಸಿ. ಯಾವುದೇ ಕ್ರೆಡಿಟ್ ಕಾರ್ಡ್ ಅಗತ್ಯವಿಲ್ಲ.
FAQ
ಬಳಕೆದಾರ-ಏಜೆಂಟ್ ಹೆಡರ್ ಅನ್ನು ನಂಬುವುದು ಭದ್ರತಾ ಅಪಾಯ ಏಕೆ?
ಏಕೆಂದರೆ ಇದು ಕ್ಲೈಂಟ್ ಕಳುಹಿಸುವ ಸರಳ ಸ್ಟ್ರಿಂಗ್ ಆಗಿದ್ದು, ಯಾವುದೇ HTTP ಕ್ಲೈಂಟ್, ಬ್ರೌಸರ್ ಎಕ್ಸ್ಟೆನ್ಶನ್ ಅಥವಾ ಸ್ಕ್ರಿಪ್ಟ್ ಅದನ್ನು ತನಗೆ ಬೇಕಾದ ಯಾವುದೇ ಮೌಲ್ಯಕ್ಕೆ ಹೊಂದಿಸಬಹುದು. ಕಳುಹಿಸುವವರ ನಿಜವಾದ ಗುರುತಿನ ಬಗ್ಗೆ ಇದು ಏನನ್ನೂ ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ.
ರಿಜೆಕ್ಸ್ ಅಥವಾ ಅನುಮತಿ ಪಟ್ಟಿ ಫಿಲ್ಟರಿಂಗ್ ಬಳಕೆದಾರ-ಏಜೆಂಟ್ ವಂಚನೆಯನ್ನು ನಿಲ್ಲಿಸಬಹುದೇ?
ಇಲ್ಲ. ಅನುಮತಿ ಪಟ್ಟಿಯು ಸ್ಟ್ರಿಂಗ್ ನಿರೀಕ್ಷಿತ ಪ್ಯಾಟರ್ನ್ಗೆ ಹೊಂದಿಕೆಯಾಗುತ್ತದೆಯೇ ಎಂದು ಮಾತ್ರ ಪರಿಶೀಲಿಸುತ್ತದೆ ಮತ್ತು ಆಕ್ರಮಣಕಾರರು ಆ ನಿಖರವಾದ ಪ್ಯಾಟರ್ನ್ ಅನ್ನು ತಮ್ಮದೇ ಆದ ವಿನಂತಿಗೆ ನಕಲಿಸಬಹುದು.
ಬಳಕೆದಾರ-ಏಜೆಂಟ್ ಆಧಾರಿತ ಮೌಲ್ಯೀಕರಣವನ್ನು ಏನು ಬದಲಾಯಿಸಬೇಕು CI/CD?
ಮೂಲದ ಕ್ರಿಪ್ಟೋಗ್ರಾಫಿಕ್ ಪರಿಶೀಲನೆ: ಪರಸ್ಪರ TLS, ಸಹಿ ಮಾಡಿದ ವಿನಂತಿಗಳು (HMAC, JWT, AWS SigV4), ಮತ್ತು SLSA ಅಥವಾ ಇನ್-ಟೊಟೊದಂತಹ ಮೂಲ ದೃಢೀಕರಣಗಳೊಂದಿಗೆ ಸಹಿ ಮಾಡಿದ ಬಿಲ್ಡ್ ಆರ್ಟಿಫ್ಯಾಕ್ಟ್ಗಳು.
