Có một thực hành được tuân thủ trong thế giới an ninh mạng lâu nay: "Thay đổi liên tục hoặc tiến hóa là cách duy nhất giữ ứng dụng an toàn mãi mãi".
Trước đây, xác thực giữa các thành phần (inter-component authentication) là rắc rối cho nhiều ứng dụng. App phải xác thực mình với các middleware và thành phần back-end khác nhau trong cloud API để được truy cập. Tuy nhiên, xác thực ứng dụng trong web API là quy trình thiết yếu.
Cơ chế xác thực hiện tại là đăng nhập ứng dụng tĩnh (static application login). Nhưng phương pháp này có vấn đề bảo mật:
- Thông tin đăng nhập được cập nhật thường xuyên.
- Giảm khả năng của công ty kiểm tra và ghi lại hoạt động của ứng dụng.
Đọc thêm: DevSecOps: Nó có giúp bảo mật ứng dụng và phần mềm của chúng ta không?
Xác thực lưỡng phương TLS (TLS Mutual Authentication)
Tuy nhiên, một trong những cách tốt nhất hỗ trợ bảo mật cloud API là giới thiệu xác thực lưỡng phương TLS (Transport Layer Security) khi các thành phần hoặc quy trình giao tiếp với nhau.
Giả sử các thành phần RESTful API đã sử dụng kỹ thuật xác thực lưỡng phương TLS. Nó yêu cầu ứng dụng trình chiếu chứng chỉ khách hàng (client certificate) để xác thực mình. Do đó, nó có thể hỗ trợ cải thiện chiến lược cơ sở hạ tầng bảo mật ứng dụng.
Vấn đề với quy trình truyền thống
Hoạt động trong quy trình thông thường được phân loại cùng nhau dưới một ID người dùng theo thành phần back-end. Phân loại này khiến khó tìm kiếm sự kiện qua toàn bộ thông tin sự kiện liên quan đến một ứng dụng. Tình huống tồi tệ hơn khi không tìm thấy sự kiện trong cuộc tấn công mạng. Chuyên gia bảo mật không thể phân biệt ứng dụng lành tính và độc hại. Vấn đề này phổ biến từ một thập kỷ và chưa giải quyết.
Đối với RESTful APIs, chúng vẫn cần xác thực nhau và chỉ dùng phương thức nhận biết HTTP (HTTP-aware methods) để xác thực. Ví dụ: giá trị ẩn được tích hợp vào header yêu cầu HTTP để xác thực người yêu cầu. Quy trình này gọi là xác thực cơ bản HTTP (HTTP basic authentication). Được áp dụng bất kể ứng dụng đám mây ở đám mây hay on-premises. Dù dùng PaaS hay IaaS, xác thực giữa thành phần vẫn là vấn đề chưa giải quyết.
Cách TLS giúp đỡ
Về cơ bản, bạn cần tận dụng đặc tính của TLS để nâng cao cơ chế xác thực bạn triển khai. Nếu TLS không dùng cho lướt web, nó hỗ trợ xác thực lưỡng phương giữa các peer giao dịch với nhau.
Máy chủ xác thực người yêu cầu giống như trình duyệt xác thực trang web từ xa. Giao thức HTTP dùng làm truyền tải cho cloud API nhưng chúng ta vẫn cho phép xác thực lưỡng phương giữa các thành phần. Trong xác thực lưỡng phương TLS, chúng ta có thể giới hạn đặc biệt các tham số của chứng chỉ chấp nhận được. Nghĩa là ứng dụng đám mây chỉ cần trình chiếu chứng chỉ cụ thể hoặc số serial thậm chí từ tổ chức cấp chứng chỉ (CA) cụ thể. Hơn nữa, bạn có thể kết hợp phương pháp TLS với giá trị ẩn tĩnh hoặc mật khẩu. Tuy nhiên, triển khai xác thực lưỡng phương TLS trong đám mây có một số phụ thuộc. Thứ nhất, cloud API phải có thể tùy chỉnh để thiết lập TLS mutual authentication. Nghĩa là bạn cần môi trường IaaS để sửa cấu hình. Hoặc môi trường PaaS cho phép bật chức năng này. Ví dụ chuyên gia đám mây như AWS và Microsoft Azure.
Lợi ích của Xác thực lưỡng phương TLS
Có những lợi ích tuyệt vời khi dùng xác thực lưỡng phương TLS. Lợi ích nổi bật nhất: ít lo toan về duy trì mật khẩu hoặc giá trị bí mật tĩnh. Sử dụng và quản lý mật khẩu/giá trị ẩn tĩnh là việc phiền toái: thay đổi mật khẩu định kỳ, kiểm tra sử dụng, tạo mật khẩu phức tạp, đảm bảo bảo vệ, v.v. Tuy nhiên, TLS mutual authentication giảm bớt phiền toái duy trì mật khẩu. Dù mật khẩu vẫn dùng vài lần khi bật phương pháp xác thực, TLS làm giảm vai trò mật khẩu lâu dài.
Bên cạnh đó, TLS mutual authentication dùng chứng chỉ và khóa riêng (private keys) ít di động hơn mật khẩu. Do đó, dù chứng chỉ và khóa riêng có thể bị xâm phạm như thực thể số khác, nó vẫn tăng độ khó cho hacker, ít nhất về mặt hậu cần khi hacker muốn giả mạo thành người gọi API từ xa.
Về giám sát ứng dụng, TLS ghi lại thành phần/ứng dụng thực hiện yêu cầu API rõ ràng hơn. Với mật khẩu, quy trình phức tạp.
Đọc thêm: An ninh mạng đang cải thiện hay tệ đi?
Nhược điểm của Xác thực lưỡng phương TLS
Có vài nhược điểm khi triển khai TLS mutual authentication. Tuy nhiên, không cái nào nên khiến bạn ngại triển khai kỹ thuật này.
Các nhược điểm sau nên được cân nhắc để cải tiến phương pháp: –
Thứ nhất và quan trọng nhất: chứng chỉ hết hạn. Do đó, phải luôn nhớ cấp lại chứng chỉ trước khi hết hạn. Nếu quên cấp lại, hậu quả có thể thảm khốc vì khó debug vấn đề. Hãy luôn theo dõi ngày hết hạn chứng chỉ để thay thế chủ động chứng chỉ hết hạn.
Tóm lại, TLS mutual authentication là phương pháp xây dựng cải thiện bảo mật cho cloud API. Ít nhất, nó giúp chuyên gia bảo mật đánh giá bảo mật ứng dụng trên đám mây.