Ablehnungen, die nichts verraten

Worum es geht

Jede Antwort eines Servers ist eine Information. Wenn ein Endpunkt auf „diese Adresse kennen wir“ anders antwortet als auf „diese Adresse kennen wir nicht“, kann jeder das ausnutzen. Er schickt tausend Adressen und liest an den Antworten ab, welche bei euch ein Konto haben. Das nennt man Enumeration: Durchprobieren, bis man eine Liste hat.

Dasselbe gilt für Mandanten („gibt es den Kunden nordbau?“), für Personen und für Rollen. Nicht der Zugriff selbst ist dann das Problem, sondern schon die Frage, ob es etwas gibt.

CIAS antwortet deshalb an den wichtigen Stellen so, dass die Antwort nur sagt, dass etwas nicht geht. Warum es nicht geht, schreibt CIAS ins Log der Anwendung. Das Log liest nur, wer die Installation betreibt.

Das Bild

flowchart LR
    A["unbekannt"] --> G{{"Prüfung"}}
    B["gesperrt"] --> G
    C["nicht erreichbar"] --> G
    D["ungültiger Schlüssel"] --> G
    G -- "nach außen" --> R["eine Antwort<br/>403 tenant-not-served"]
    G -- "nach innen" --> L[("Log der Anwendung<br/>mit dem echten Grund")]

Lies es so: Egal, aus welchem Grund das Mandanten-Tor ablehnt, der Aufrufer sieht dieselbe Antwort. Der Unterschied landet im Log, wo ein Betreiber ihn braucht und ein Angreifer ihn nicht sieht.

Situation → sichtbare Antwort

Die Ausprägungen

Wo Antworten sich unterscheiden

Nicht jede Antwort ist gleich, und das muss auch nicht sein. Ein Unterschied ist harmlos, wenn er nichts über gespeicherte Daten verrät, die den Aufrufer nichts angehen:

• Eine kaputte Anfrage bekommt 400, etwa wenn ein Pflichtfeld fehlt. Das hängt nur an dem, was du selbst geschickt hast.
• Die Drosselung antwortet mit 429, egal welche Adresse im Formular steht.
• Die Mandanten-Abfrage für Dienste unterscheidet bewusst: 200 für einen bekannten Mandanten, 404 für einen unbekannten. Der fragende Dienst braucht den Unterschied für sein Log, und er hat schon ein eigenes Dienst-Token mit eigener Rolle.
• Die Bereiche unterscheiden sich untereinander. Eine Ablehnung der Mandantenverwaltung trägt einen anderen Schlüssel als eine der Rollenverwaltung. Gleich bleibt: Keine dieser Ablehnungen nennt ihren Grund.
• Verwaltungs-APIs für Berechtigte sagen offen, was los ist: 404, wenn es etwas nicht gibt, 409, wenn es schon existiert. Wer die Berechtigung hat, darf das wissen.

Auch eine falsch eingestellte Installation verrät nichts: Fehlt etwa in der Registrierung eine Rolle, scheitert der Aufruf, und die Antwort nennt nicht, welche Rolle fehlt. Das steht im Log.

Fallen

Weiter

• Schutz der öffentlichen Endpunkte
• Den Mandanten zulassen (Mandanten-Tor)
• Die Obergrenze: niemand vergibt mehr, als er hat
• In CDMS gilt dasselbe für Datensätze: Warum Unsichtbares 404 liefert
• Im Zweifel ablehnen