ਇੱਕ ਬ੍ਰਾਊਜ਼ਰ ਏਜੰਟ ਸੁਰੱਖਿਆ ਜੋਖਮ ਉਦੋਂ ਹੁੰਦਾ ਹੈ ਜਦੋਂ ਇੱਕ ਐਪਲੀਕੇਸ਼ਨ, API, ਜਾਂ CI/CD pipeline ਪ੍ਰਮਾਣੀਕਰਨ ਜਾਂ ਅਧਿਕਾਰ ਬਣਾਉਣ ਲਈ ਯੂਜ਼ਰ-ਏਜੰਟ ਹੈਡਰ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈcision, ਭਾਵੇਂ ਉਹ ਹੈਡਰ ਇੱਕ ਕਲਾਇੰਟ-ਸਪਲਾਈ ਕੀਤੀ ਸਤਰ ਹੈ ਜਿਸਨੂੰ ਕੋਈ ਵੀ ਬੇਨਤੀ ਸੁਤੰਤਰ ਰੂਪ ਵਿੱਚ ਦੁਬਾਰਾ ਲਿਖ ਸਕਦੀ ਹੈ।
ਯੂਜ਼ਰ-ਏਜੰਟ ਟਰੱਸਟ ਦੇ ਪਿੱਛੇ ਲੁਕਿਆ ਹੋਇਆ ਜੋਖਮ
ਬਹੁਤ ਸਾਰੇ ਵੈੱਬ ਐਪਸ, API, ਅਤੇ CI/CD ਸਿਸਟਮ ਅਜੇ ਵੀ ਯੂਜ਼ਰ-ਏਜੰਟ ਹੈਡਰ 'ਤੇ ਭਰੋਸਾ ਕਰਦੇ ਹਨ ਤਾਂ ਜੋ ਇਹ ਪਛਾਣਿਆ ਜਾ ਸਕੇ ਕਿ ਬੇਨਤੀ ਕੌਣ ਕਰ ਰਿਹਾ ਹੈ, ਜੋ ਕਿ ਵੈੱਬ ਦੇ ਸ਼ੁਰੂਆਤੀ ਦਿਨਾਂ ਤੋਂ ਬਚੀ ਹੋਈ ਧਾਰਨਾ ਹੈ। ਪਰ ਇੱਕ ਵਿੱਚ DevSecOps ਵਰਲਡ, ਇਹ ਧਾਰਨਾ ਖ਼ਤਰਨਾਕ ਹੈ। ਜਦੋਂ ਵੀ ਕੋਡ, pipelines, ਜਾਂ API, ਤਰਕ ਲਾਗੂ ਕਰਨ ਜਾਂ ਸੁਰੱਖਿਆ ਨੀਤੀਆਂ ਨੂੰ ਲਾਗੂ ਕਰਨ ਲਈ ਯੂਜ਼ਰ-ਏਜੰਟ ਸਟ੍ਰਿੰਗਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ। ਉਦਾਹਰਣ ਲਈ:
- ਏਪੀਆਈ ਬਣਾਉਣ ਨਾਲ ਸਿਰਫ਼ "ਭਰੋਸੇਯੋਗ ਏਜੰਟਾਂ" ਤੋਂ ਹੀ ਬੇਨਤੀਆਂ ਦੀ ਆਗਿਆ ਮਿਲ ਸਕਦੀ ਹੈ।
- ਆਰਟੀਫੈਕਟ ਰਿਪੋਜ਼ਟਰੀਆਂ ਖਾਸ ਉਪਭੋਗਤਾ ਏਜੰਟਾਂ ਨੂੰ ਵਾਈਟਲਿਸਟ ਕਰ ਸਕਦੀਆਂ ਹਨ।
- ਸੁਰੱਖਿਆ ਫਿਲਟਰ ਸਿਰਲੇਖ ਦੇ ਆਧਾਰ 'ਤੇ ਬੇਨਤੀਆਂ ਨੂੰ ਬਲੌਕ ਜਾਂ ਦਰ-ਸੀਮਾ ਕਰ ਸਕਦੇ ਹਨ।
ਪਰ ਇੱਕ ਯੂਜ਼ਰ-ਏਜੰਟ ਹੈਡਰ ਸਿਰਫ਼ ਇੱਕ ਸਤਰ ਹੈ, ਜਿਸਨੂੰ ਕੋਈ ਵੀ ਹਮਲਾਵਰ ਸੋਧ ਸਕਦਾ ਹੈ।
⚠️ ਅਸੁਰੱਖਿਅਤ ਉਦਾਹਰਣ, ਸਿਰਫ਼ ਵਿਦਿਅਕ ਉਦੇਸ਼ਾਂ ਲਈ। ਉਤਪਾਦਨ ਵਿੱਚ ਨਾ ਵਰਤੋ।
ਜੇਕਰ ਤੁਹਾਡਾ ਬੈਕਐਂਡ ਜਾਂ pipeline ਤਰਕ ਇਹ ਮੰਨਦਾ ਹੈ ਕਿ ਯੂਜ਼ਰ-ਏਜੰਟ ਸਤਰ ਇੱਕ ਭਰੋਸੇਯੋਗ ਸਰੋਤ ਦੀ ਪਛਾਣ ਕਰਦੀ ਹੈ, ਤੁਸੀਂ ਪਹਿਲਾਂ ਹੀ ਇੱਕ ਬ੍ਰਾਊਜ਼ਰ ਏਜੰਟ ਸੁਰੱਖਿਆ ਜੋਖਮ ਬਣਾਇਆ ਹੈ ਜਿਸ ਨਾਲ ਸਪਲਾਈ ਚੇਨ ਸਮਝੌਤਾ ਹੋ ਸਕਦਾ ਹੈ।
ਯੂਜ਼ਰ-ਏਜੰਟ ਸਪੂਫਿੰਗ ਅਭਿਆਸ ਵਿੱਚ ਕਿਵੇਂ ਕੰਮ ਕਰਦੀ ਹੈ
ਇੱਕ ਯੂਜ਼ਰ ਏਜੰਟ ਸਪੂਫਰ ਇੱਕ ਬ੍ਰਾਊਜ਼ਰ ਐਕਸਟੈਂਸ਼ਨ, ਇੱਕ ਸੋਧਿਆ ਹੋਇਆ HTTP ਕਲਾਇੰਟ, ਜਾਂ ਇੱਕ ਸਵੈਚਾਲਿਤ ਬੋਟ ਜਿੰਨਾ ਸਰਲ ਹੋ ਸਕਦਾ ਹੈ ਜੋ ਜਾਇਜ਼ ਬਿਲਡ ਟ੍ਰੈਫਿਕ ਦੀ ਨਕਲ ਕਰਨ ਲਈ ਸੰਰਚਿਤ ਕੀਤਾ ਗਿਆ ਹੈ।
ਹਮਲਾਵਰ ਯੂਜ਼ਰ ਏਜੰਟ ਸਪੂਫਿੰਗ ਦੀ ਵਰਤੋਂ ਇਸ ਲਈ ਕਰਦੇ ਹਨ:
- ਖਾਸ ਹੈਡਰਾਂ 'ਤੇ ਭਰੋਸਾ ਕਰਨ ਵਾਲੇ API ਵਿੱਚ ਪਹੁੰਚ ਫਿਲਟਰਾਂ ਨੂੰ ਬਾਈਪਾਸ ਕਰੋ
- ਬਿਲਡ ਸਿਸਟਮਾਂ ਦੀ ਨਕਲ ਕਰੋ (ਜਿਵੇਂ ਕਿ, ਜੇਨਕਿਨਸ, ਗਿਟਹਬ ਐਕਸ਼ਨ, ਜਾਂ ਗਿਟਲੈਬ ਰਨਰ)
- ਸਰਕਮਵੈਂਟ ਰੇਟ ਸੀਮਾਵਾਂ ਜਾਂ ਸੁਰੱਖਿਆ ਵਿਸ਼ਲੇਸ਼ਣ ਟੂਲ
- "ਅਧਿਕਾਰਤ" ਏਜੰਟਾਂ ਲਈ ਰਾਖਵੀਆਂ ਬੈਕਐਂਡ ਕਾਰਵਾਈਆਂ ਨੂੰ ਟਰਿੱਗਰ ਕਰੋ।
// Attacker sets the User-Agent to impersonate a trusted CI system
curl -A "Jenkins-Agent/2.4" https://internal-api.example.com/build/trigger// Instead of trusting the header, validate a signed request token
if not verify_signature(request.headers["X-Signature"], shared_secret):
reject(request)ਯੂਜ਼ਰ ਏਜੰਟ ਸਪੂਫਿੰਗ ਮਾਮੂਲੀ ਹੈ; ਅਸਲ ਪਛਾਣ ਪ੍ਰਮਾਣਿਕਤਾ ਨਹੀਂ ਹੈ।
ਵਿੱਚ ਅਸਲ ਬ੍ਰਾਊਜ਼ਰ ਏਜੰਟ ਸੁਰੱਖਿਆ ਜੋਖਮ CI/CD ਅਤੇ ਸਪਲਾਈ ਚੇਨ
ਬ੍ਰਾਊਜ਼ਰ ਏਜੰਟ ਸੁਰੱਖਿਆ ਜੋਖਮ ਉਦੋਂ ਮਹੱਤਵਪੂਰਨ ਹੋ ਜਾਂਦਾ ਹੈ ਜਦੋਂ ਇਹ ਬਿਲਡ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਜਾਂ ਆਰਟੀਫੈਕਟ ਡਿਲੀਵਰੀ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦਾ ਹੈ। pipelineਐੱਸ. ਵਿਚ CI/CD ਵਾਤਾਵਰਣ, ਬੇਨਤੀਆਂ ਅਕਸਰ ਆਟੋਮੇਟਿਡ ਏਜੰਟਾਂ ਤੋਂ ਆਉਂਦੀਆਂ ਹਨ, ਅਤੇ ਹਮਲਾਵਰ ਉਸ ਭਰੋਸੇ ਦੀ ਸੀਮਾ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਦੇ ਹਨ। ਅਸਲ ਉਦਾਹਰਣਾਂ ਵਿੱਚ ਸ਼ਾਮਲ ਹਨ:
- ਆਰਟੀਫੈਕਟ ਰਜਿਸਟਰੀਆਂ ਲਈ ਨਕਲੀ ਬਿਲਡ ਬੇਨਤੀਆਂ
- ਨਿਰਭਰਤਾ ਪ੍ਰਤੀਬਿੰਬ ਦੁਰਵਰਤੋਂ
- Pipeline ਛਾਪ
// Registry verifies a signed provenance attestation instead of trusting a header
if not verify_attestation(request.artifact, build_provenance):
reject_artifact_upload(request)ਇੱਕ ਸਿੰਗਲ ਸਪੂਫਡ ਬੇਨਤੀ ਸਿੱਧੇ ਤੌਰ 'ਤੇ ਉਤਪਾਦਨ ਵਿੱਚ ਇੱਕ ਖਤਰਨਾਕ ਨਿਰਭਰਤਾ ਨੂੰ ਸ਼ਾਮਲ ਕਰ ਸਕਦੀ ਹੈ। pipelines, ਇੱਕ ਬ੍ਰਾਊਜ਼ਰ ਏਜੰਟ ਸੁਰੱਖਿਆ ਜੋਖਮ ਦੀ ਇੱਕ ਪ੍ਰਮੁੱਖ ਉਦਾਹਰਣ ਜੋ ਸਪਲਾਈ ਚੇਨ ਉਲੰਘਣਾ ਵੱਲ ਲੈ ਜਾਂਦੀ ਹੈ।
ਸੁਰੱਖਿਆ ਨਿਯੰਤਰਣ ਦੇ ਤੌਰ 'ਤੇ ਮੁੱਢਲੀ ਸਿਰਲੇਖ ਪ੍ਰਮਾਣਿਕਤਾ ਕਿਉਂ ਅਸਫਲ ਹੁੰਦੀ ਹੈ
ਡਿਵੈਲਪਰ ਕਈ ਵਾਰ ਏਜੰਟ ਬੇਨਤੀਆਂ ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਕਰਨ ਲਈ ਹੈਡਰ-ਅਧਾਰਿਤ ਰੇਜੈਕਸ ਫਿਲਟਰਾਂ ਜਾਂ ਸਥਿਰ ਅਲਾਉਲਿਸਟਾਂ 'ਤੇ ਨਿਰਭਰ ਕਰਦੇ ਹਨ। ਬਦਕਿਸਮਤੀ ਨਾਲ, ਇਹ ਉਪਭੋਗਤਾ ਏਜੰਟ ਸਪੂਫਿੰਗ ਦੇ ਵਿਰੁੱਧ ਜ਼ੀਰੋ ਸੁਰੱਖਿਆ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। ਸਥਿਰ ਜਾਂਚਾਂ ਜਿਵੇਂ ਕਿ:
⚠️ Regex-ਅਧਾਰਿਤ ਪ੍ਰਮਾਣਿਕਤਾ ਪ੍ਰਮਾਣੀਕਰਨ ਨਹੀਂ ਹੈ। ਕੋਈ ਵੀ ਹਮਲਾਵਰ ਜਾਅਲੀ ਉਪਭੋਗਤਾ-ਏਜੰਟ ਸਟ੍ਰਿੰਗ ਨਾਲ ਉਮੀਦ ਕੀਤੇ ਪੈਟਰਨ ਦੀ ਨਕਲ ਕਰ ਸਕਦਾ ਹੈ।
ਇਹਨਾਂ ਨਾਲ ਮਾਮੂਲੀ ਤੌਰ 'ਤੇ ਬਾਈਪਾਸ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ:
ਇਸ ਤਰ੍ਹਾਂ ਦਾ ਤਰਕ ਝੂਠੇ ਵਿਸ਼ਵਾਸ ਅਤੇ ਉੱਚ ਬ੍ਰਾਊਜ਼ਰ ਏਜੰਟ ਸੁਰੱਖਿਆ ਜੋਖਮ ਵੱਲ ਲੈ ਜਾਂਦਾ ਹੈ ਕਿਉਂਕਿ ਕੁਝ ਵੀ ਇਹ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ ਕਿ ਭੇਜਣ ਵਾਲਾ ਉਹੀ ਹੈ ਜੋ ਇਹ ਦਾਅਵਾ ਕਰਦਾ ਹੈ।
ਦਸਤਖਤ ਕੀਤੀਆਂ ਬੇਨਤੀਆਂ ਅਤੇ ਕਲਾਤਮਕ ਇਕਸਾਰਤਾ ਨਾਲ ਪ੍ਰਮਾਣਿਕਤਾ ਨੂੰ ਮਜ਼ਬੂਤ ਕਰਨਾ - ਬ੍ਰਾਊਜ਼ਰ ਏਜੰਟ ਸੁਰੱਖਿਆ ਜੋਖਮ ਤੋਂ ਬਚੋ
ਯੂਜ਼ਰ-ਏਜੰਟ ਮੁੱਲਾਂ 'ਤੇ ਭਰੋਸਾ ਕਰਨ ਦੀ ਬਜਾਏ, ਡਿਵੈਲਪਰਾਂ ਨੂੰ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਅਤੇ ਪ੍ਰਸੰਗਿਕ ਪ੍ਰਮਾਣਿਕਤਾ ਰਾਹੀਂ ਹਰੇਕ ਬੇਨਤੀ ਦੇ ਸਰੋਤ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ। ਬ੍ਰਾਊਜ਼ਰ ਏਜੰਟ ਸੁਰੱਖਿਆ ਜੋਖਮ ਨੂੰ ਘਟਾਉਣ ਲਈ ਮੁੱਖ ਰਣਨੀਤੀਆਂ ਵਿੱਚ ਸ਼ਾਮਲ ਹਨ:
- ਆਪਸੀ TLS (mTLS)
- ਦਸਤਖਤ ਕੀਤੇ ਮੈਟਾਡੇਟਾ ਜਾਂ ਬੇਨਤੀਆਂ (AWS SigV4, HMAC, JWT)
- ਕਲਾਤਮਕ ਚੀਜ਼ਾਂ 'ਤੇ ਦਸਤਖਤ ਅਤੇ ਤਸਦੀਕ
- ਸਕੋਪਡ API ਟੋਕਨ
- ਆਊਟ-ਆਫ-ਬੈਂਡ ਪੁਸ਼ਟੀਕਰਨ
ਇਹ ਕਦਮ ਇਹ ਯਕੀਨੀ ਬਣਾਉਂਦੇ ਹਨ ਕਿ ਭਾਵੇਂ ਕੋਈ ਉਪਭੋਗਤਾ ਏਜੰਟ ਸਪੂਫਰ ਇੱਕ ਭਰੋਸੇਯੋਗ ਸਿਰਲੇਖ ਦੀ ਨਕਲ ਕਰਦਾ ਹੈ, ਸਿਸਟਮ ਅਣ-ਪ੍ਰਮਾਣਿਤ ਜਾਂ ਹਸਤਾਖਰਿਤ ਟ੍ਰੈਫਿਕ ਨੂੰ ਰੱਦ ਕਰਦਾ ਹੈ।
DevSecOps ਵਿੱਚ ਖੋਜ ਅਤੇ ਰੋਕਥਾਮ ਨੂੰ ਜੋੜਨਾ Pipelines
ਯੂਜ਼ਰ ਏਜੰਟ ਸਪੂਫਿੰਗ ਖੋਜ ਤੁਹਾਡੇ ਦਾ ਹਿੱਸਾ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ CI/CD ਟੈਲੀਮੈਟਰੀ ਅਤੇ ਨਿਰੰਤਰ ਪ੍ਰਮਾਣਿਕਤਾ।
DevSecOps ਟੀਮਾਂ ਕੰਟਰੋਲਾਂ ਨੂੰ ਏਮਬੈਡ ਕਰ ਸਕਦਾ ਹੈ ਜਿਵੇਂ ਕਿ:
- ਸਵੈਚਾਲਿਤ ਬੇਨਤੀ ਪ੍ਰਮਾਣਿਕਤਾ
- ਟੈਲੀਮੈਟਰੀ ਸਹਿ-ਸੰਬੰਧ
- ਅਨੋਖੀ ਖੋਜ
- ਸੰਦਰਭੀ ਨੀਤੀ ਲਾਗੂਕਰਨ
// CI step fails the build if request signatures aren't verified
- name: Verify request provenance
run: xygeni verify-attestation --fail-on unsignedਖੋਜ ਅਤੇ ਨੀਤੀ ਲਾਗੂ ਕਰਨ ਦਾ ਸੁਮੇਲ ਇਹ ਯਕੀਨੀ ਬਣਾਉਂਦਾ ਹੈ ਕਿ ਬ੍ਰਾਊਜ਼ਰ ਏਜੰਟ ਸੁਰੱਖਿਆ ਜੋਖਮ ਚੁੱਪਚਾਪ ਤੁਹਾਡੇ ਨਾਲ ਸਮਝੌਤਾ ਨਹੀਂ ਕਰਦੇ ਹਨ pipelines ਜਾਂ ਕਲਾਤਮਕ ਵੰਡ।
ਸਿਰਲੇਖ 'ਤੇ ਭਰੋਸਾ ਨਾ ਕਰੋ, ਸਰੋਤ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ।
ਹਰ ਉਪਭੋਗਤਾ ਏਜੰਟ ਹੈਡਰ ਝੂਠ ਬੋਲ ਸਕਦਾ ਹੈ। ਹਰ ਯੂਜ਼ਰ ਏਜੰਟ ਸਪੂਫਰ ਜਾਅਲੀ ਜਾਇਜ਼ਤਾ ਪੇਸ਼ ਕਰ ਸਕਦਾ ਹੈ। ਅਤੇ ਹਰ ਬ੍ਰਾਊਜ਼ਰ ਏਜੰਟ ਸੁਰੱਖਿਆ ਜੋਖਮ ਕਿਸੇ ਅਜਿਹੀ ਚੀਜ਼ 'ਤੇ ਭਰੋਸਾ ਕਰਨ ਨਾਲ ਆਉਂਦਾ ਹੈ ਜਿਸਦੀ ਪੁਸ਼ਟੀ ਨਹੀਂ ਕੀਤੀ ਗਈ ਸੀ। ਇਹ ਹੱਲ ਹੈਡਰ ਨੂੰ ਹਟਾਉਣ ਬਾਰੇ ਨਹੀਂ ਹੈ; ਇਹ ਪ੍ਰਮਾਣੀਕਰਨ ਜਾਂ ਨੀਤੀ ਲਾਗੂ ਕਰਨ ਲਈ ਇਸ 'ਤੇ ਭਰੋਸਾ ਨਾ ਕਰਨ ਬਾਰੇ ਹੈ। ਇਸ ਦੀ ਬਜਾਏ, ਦਸਤਖਤ ਕੀਤੀਆਂ ਬੇਨਤੀਆਂ ਨੂੰ ਲਾਗੂ ਕਰੋ, ਪਛਾਣ ਪ੍ਰਮਾਣਿਕਤਾ ਲਾਗੂ ਕਰੋ, ਅਤੇ ਆਪਣੇ ਨਿਗਰਾਨੀ CI/CD ਆਵਾਜਾਈ ਸਪੂਫਿੰਗ ਪੈਟਰਨਾਂ ਲਈ।
ਜ਼ਾਇਗੇਨੀ ਦਾ Build Security ਕੀਲੈੱਸ ਆਰਟੀਫੈਕਟ ਸਾਈਨਿੰਗ ਦੁਆਰਾ ਬਿਲਡ ਇਕਸਾਰਤਾ ਦੀ ਪੁਸ਼ਟੀ ਕਰਦਾ ਹੈ ਅਤੇ SLSA provenance, ਇਸ ਲਈ ਇੱਕ ਬੇਨਤੀ ਜਾਂ ਆਰਟੀਫੈਕਟ 'ਤੇ ਭਰੋਸਾ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਕਿਉਂਕਿ ਇਹ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਤੌਰ 'ਤੇ ਪ੍ਰਮਾਣਿਤ ਹੈ, ਨਾ ਕਿ ਕਿਸੇ ਸਿਰਲੇਖ ਦੇ ਕਾਰਨ ਜੋ ਇਸਨੂੰ ਭੇਜਿਆ ਗਿਆ ਸੀ। ਜ਼ਾਇਜੇਨੀ ਦੀ ਅਨੋਮਲੀ ਖੋਜ ਉੱਪਰੋਂ ਵਿਵਹਾਰਕ ਨਿਗਰਾਨੀ ਦੀਆਂ ਪਰਤਾਂ, ਤੁਹਾਡੇ ਵਿੱਚ ਅਸਾਧਾਰਨ ਗਤੀਵਿਧੀ ਨੂੰ ਫਲੈਗ ਕਰਦੀਆਂ ਹਨ CI/CD ਬੁਨਿਆਦੀ ਢਾਂਚਾ, ਜਿਵੇਂ ਕਿ ਕੋਈ ਨੌਕਰੀ ਜਾਂ ਏਜੰਟ ਜੋ ਅਸਲ ਸਮੇਂ ਵਿੱਚ ਆਪਣੇ ਆਮ ਪੈਟਰਨ ਤੋਂ ਬਾਹਰ ਕੰਮ ਕਰਦਾ ਹੈ।
ਧਾਰਨਾਵਾਂ 'ਤੇ ਭਰੋਸਾ ਨਾ ਕਰੋ, ਹਰ ਸਰੋਤ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ। ਮੁਫ਼ਤ ਸ਼ੁਰੂ ਕਰੋ। ਕੋਈ ਕ੍ਰੈਡਿਟ ਕਾਰਡ ਦੀ ਲੋੜ ਨਹੀਂ।
ਸਵਾਲ
ਯੂਜ਼ਰ-ਏਜੰਟ ਹੈਡਰ 'ਤੇ ਭਰੋਸਾ ਕਰਨਾ ਸੁਰੱਖਿਆ ਜੋਖਮ ਕਿਉਂ ਹੈ?
ਕਿਉਂਕਿ ਇਹ ਇੱਕ ਪਲੇਨ ਸਟ੍ਰਿੰਗ ਹੈ ਜੋ ਕਲਾਇੰਟ ਭੇਜਦਾ ਹੈ, ਅਤੇ ਕੋਈ ਵੀ HTTP ਕਲਾਇੰਟ, ਬ੍ਰਾਊਜ਼ਰ ਐਕਸਟੈਂਸ਼ਨ, ਜਾਂ ਸਕ੍ਰਿਪਟ ਇਸਨੂੰ ਆਪਣੀ ਮਰਜ਼ੀ ਦੇ ਮੁੱਲ 'ਤੇ ਸੈੱਟ ਕਰ ਸਕਦਾ ਹੈ। ਇਹ ਭੇਜਣ ਵਾਲੇ ਦੀ ਅਸਲ ਪਛਾਣ ਬਾਰੇ ਕੁਝ ਵੀ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ।
ਕੀ regex ਜਾਂ allowlist ਫਿਲਟਰਿੰਗ ਯੂਜ਼ਰ-ਏਜੰਟ ਸਪੂਫਿੰਗ ਨੂੰ ਰੋਕ ਸਕਦੀ ਹੈ?
ਨਹੀਂ। ਇੱਕ ਅਲਾਉਲਿਸਟ ਸਿਰਫ਼ ਇਹ ਜਾਂਚ ਕਰਦੀ ਹੈ ਕਿ ਸਤਰ ਇੱਕ ਉਮੀਦ ਕੀਤੇ ਪੈਟਰਨ ਨਾਲ ਮੇਲ ਖਾਂਦੀ ਹੈ, ਅਤੇ ਇੱਕ ਹਮਲਾਵਰ ਉਸ ਸਹੀ ਪੈਟਰਨ ਨੂੰ ਆਪਣੀ ਬੇਨਤੀ ਵਿੱਚ ਕਾਪੀ ਕਰ ਸਕਦਾ ਹੈ।
ਵਿੱਚ ਯੂਜ਼ਰ-ਏਜੰਟ ਅਧਾਰਤ ਪ੍ਰਮਾਣਿਕਤਾ ਨੂੰ ਕੀ ਬਦਲਣਾ ਚਾਹੀਦਾ ਹੈ CI/CD?
ਸਰੋਤ ਦੀ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਤਸਦੀਕ: ਆਪਸੀ TLS, ਦਸਤਖਤ ਕੀਤੀਆਂ ਬੇਨਤੀਆਂ (HMAC, JWT, AWS SigV4), ਅਤੇ SLSA ਜਾਂ ਇਨ-ਟੋਟੋ ਵਰਗੇ ਉਤਪਤੀ ਪ੍ਰਮਾਣੀਕਰਣਾਂ ਦੇ ਨਾਲ ਦਸਤਖਤ ਕੀਤੇ ਬਿਲਡ ਆਰਟੀਫੈਕਟ।
