نمط الفشل ليس النموذج، بل بيانات الاعتماد المحيطة
عندما يُربط وكيل بجلسة OAuth لمستخدم بشري، فإنه لا يرث نية المستخدم. بل يرث نطاقه. التوجيه النظامي الذي يقول "لا ترسل بريدًا إلكترونيًا" هو اقتراح لعملية عشوائية؛ وليس قيدًا يفرضه خادم التخويل. يمكن أن يكون النموذج متوافقًا، ويمكن أن يكون التوجيه حذرًا، ومع ذلك يمكن للوكيل إصدار طلب تكون بيانات الاعتماد مخوّلة قانونًا لإجرائه.
النتيجة العملية هي أن حقن التوجيه وتصعيد الامتيازات يتوقفان عن كونهما فئتين منفصلتين. لا تحتاج التعليمات المحقونة إلى كسر النموذج. بل تحتاج فقط إلى الوصول إلى استدعاء أداة تكون الرمز المميز المحيط مخوّلًا له بالفعل. يصبح النموذج طبقة توجيه لسلطة مُنحت قبل بدء المحادثة.
لهذا السبب "لا ترسل بريدًا إلكترونيًا" ليس بدائيًا للتحكم في الوصول. بدائيات التحكم في الوصول هي النطاقات والجماهير وأوقات الانتهاء وقيود الموارد. وهي تعيش في الرمز المميز وفي الوسيط، لا في نص التعليمات. التوجيه هو تعبير سياسة بلا نقطة إنفاذ. عندما يفشل، لا يوجد حدث تدقيق، ولا رفض، ولا إبطال.
يختلف نطاق التأثير حسب فئة بيانات الاعتماد. رمز وكيل مسرّب بنطاق ضيق قصير الأجل يمكنه قراءة مجموعة موارد محدودة حتى انتهاء الصلاحية. جلسة مستخدم مسرّبة يمكنها التصرف كالمستخدم عبر كل خدمة تثق بمزوّد الهوية، بما في ذلك إعادة تعيين كلمة المرور والفوترة وتصدير البيانات. رمز الوكيل أداة محدودة؛ جلسة المستخدم مفتاح رئيسي. الأنظمة التي تدمج الاثنين ترث نطاق تأثير المفتاح الرئيسي في كل دورة وكيل.
ميزانيات السلطة كأثر من الدرجة الأولى
ميزانية السلطة هي وصف تصريحي لما يجوز للوكيل فعله، معبّر عنه بوحدات يمكن لبيئة التشغيل إنفاذها. ليست توجيهًا وليست وصف دور. إنها تكوين يُشحن مع الوكيل، ويُدار بإصدارات في نفس المستودع الذي يحتوي على كود الوكيل، ويراجعه نفس الأشخاص الذين يراجعون ارتباطات الأدوات.
الميزانية المفيدة لها أربعة أبعاد على الأقل:
- الإنفاق: سقف لكل مهمة ولكل نافذة على العمليات النقدية، معبّر عنه كحد صارم يرفض الوسيط تجاوزه.
- حجم الرسائل: حد أقصى للرسائل الصادرة أو الدعوات أو الإشعارات لكل نافذة، حتى لا يتمكن وكيل مخترق من استخدام صندوق البريد كمضخم.
- عمليات الكتابة: عدد ونطاق موارد للتغييرات، منفصلة عن القراءات.
- الاستدعاءات الخارجية: قائمة وجهات مسموحة، مع حدود معدل لكل وجهة، بحيث يتطلب تسريب البيانات وجهة تمت الموافقة عليها مسبقًا.
يجب أن تفصل الميزانية سلطة القراءة عن سلطة الكتابة وعن السلطة غير القابلة للتراجع. قراءة تقويم ليست نفس فئة إجراء حذف حدث. إرسال مسودة ليس نفس إرسال رسالة. النشر في قناة ليس نفس تحويل الأموال. كل فئة تحصل على منحها الخاص، وانتهاء صلاحيتها الخاص، وسياسة نقطة تفتيشها الخاصة.
آلية ملموسة: لا تحتفظ عملية الوكيل أبدًا بسر طويل الأجل. عند بدء المهمة، تقدم هويتها ومجموعة القدرات المطلوبة إلى وسيط. يتحقق الوسيط من الطلب مقابل ميزانية الوكيل المسجلة، ويصدر رمزًا مميزًا قصير الأجل محدد النطاق بدقة لتلك القدرات والموارد، ويعيده. يحمل الرمز المميز جمهورًا وانتهاء صلاحية بالدقائق ومعرّف ميزانية. كل استدعاء لاحق يقدم ذلك الرمز. يسجل الوسيط المنح، وليس الاستدعاء فقط.
المقايضة الصادقة هي زمن الوصول والتعقيد. رحلة ذهاب وإياب إلى الوسيط تقع على المسار الحرج لكل مهمة، ويصبح ملف الميزانية أثرًا آخر يمكن أن ينحرف عن الواقع. الفرق التي تتخطى الوسيط من أجل وكلاء "بسيطين" عادةً ما تعيد إدخال بيانات الاعتماد المحيطة لاحقًا، تحت ضغط الحوادث، عندما يكون الوكيل البسيط قد نما صندوق بريد وطريقة دفع.
قواعد الاشتباك قبل أول استدعاء أداة
التسجيل هو اللحظة المناسبة لإعلان قواعد الاشتباك. عند التسجيل، يعلن الوكيل أدواته المسموحة وأهدافه المسموحة ونقاط التفتيش البشرية المطلوبة. يخزن الوسيط هذا الإعلان وينفذه عند وقت المنح. الأداة غير المعلنة غير قابلة للاستدعاء، بغض النظر عما يصدره النموذج.
نقاط التفتيش البشرية تنتمي إلى نفس الإعلان. يمكن لعملية غير قابلة للتراجع أن تتطلب منحًا ثانيًا مع هوية موافق بشري مرفقة. الموافقة أثر موقّع، وليست رسالة دردشة، بحيث يمكن إعادة تشغيلها في المراجعة.
تصميم طبقة الوساطة يتبع من هذا. ثلاث خصائص مهمة:
- لا يحتفظ الوكيل أبدًا بالسر الخام. بل يحتفظ بمرجع إلى منح.
- يستبدل الوسيط المرجع برمز مميز قصير الأجل محدد النطاق. التبادل هو نقطة الإنفاذ.
- التسجيل يلتقط المنح: من طلبه، ولأي قدرة، وعلى أي مورد، وبأي ميزانية، وأي موافق وقّعه. Cal
إدخال سجل المنح هو الفرق بين "أرسل الوكيل بريدًا إلكترونيًا" و"طلب الوكيل سلطة إرسال للمستلم X تحت الميزانية B، ومنحها الوسيط لأن الإعلان سمح بذلك." العبارة الثانية قابلة للمراجعة. الأولى إشاعة.
هناك تكلفة حقيقية هنا: تسجيل المنح ينتج تيار أحداث ثانيًا يجب الاحتفاظ به وفهرسته وربطه بسجلات الاستدعاء. إنه تخزين أكثر وسطح استعلام أكثر. البديل هو مراجعة حادث لا تستطيع التمييز بين ميزانية سيئة التكوين وحقن ناجح.
الإبطال والتكلفة التشغيلية للخطأ
زمن دوران الإبطال يهيمن على شدة الحادث. إذا استغرق إبطال سلطة وكيل ساعات، فإن نافذة الحادث ساعات، بغض النظر عن سرعة تصحيح النموذج. إذا كان الإبطال عملية وسيط واحدة تبطل عائلة منح ورموزها المشتقة، فإن النافذة تنهار إلى انتهاء صلاحية الرمز زائد وقت الانتشار.
هذا يجعل الإبطال قيد تصميم، لا خطوة دليل تشغيل. يجب أن يدعم الوسيط:
- إبطال المنح: إبطال منح محدد وكل الرموز المميزة الصادرة منه.
- إبطال الميزانية: إبطال كل منح تحت معرّف ميزانية.
- إبطال الوكيل: إبطال كل منح لهوية وكيل.
- تدوير المفاتيح: إعادة إصدار مفاتيح توقيع الوسيط دون إعادة نشر كاملة.
مسارات الإبطال تنتمي إلى حزمة التقييم، وليس فقط إلى أدلة التشغيل الإنتاجية. يمكن للحزمة أن تؤكد أنه بعد حدث إبطال، يُرفض رمز مميز كان صالحًا سابقًا ضمن عدد محدود من الطلبات، وأن الرفض يُسجل مع معرّف المنح. هذه خاصية قابلة للاختبار. التعامل معها كعنصر في دليل التشغيل يعني اختبارها لأول مرة أثناء حادث.
الخطر المتبقي هو الهندسة الاجتماعية، ولا يختفي بتحديد النطاق. يمكن التلاعب بوكيل محدد النطاق لاستخدام سلطته المشروعة ضد مصلحة المستخدم: إرسال رسالة معقولة إلى مستلم معتمد، أو قراءة مستند مسموح له بقراءته وتلخيصه إلى وجهة يسيطر عليها المهاجم ضمن القائمة المسموحة. تحديد النطاق يقلل نطاق التأثير؛ ولا يلغي الحاجة إلى مراجعة على مستوى المحتوى، أو تأكيد المستلم، أو كشف شذوذ المعدل.
الاستنتاج التصميمي ضيق وحامل. وحدة التصميم هي منح القدرة. التوجيهات تصف السلوك؛ المنح تقيده. الأنظمة التي تتعامل مع المنح كتكوين، وتديرها بإصدارات، وتراجعها، وتختبر مسار إبطالها، ستنجو من محاولات الحقن التي كانت ستصبح حوادث تصعيد امتيازات. الأنظمة التي تتعامل مع التوجيه كمستوى التحكم ستستمر في اكتشاف أن بيانات الاعتماد كانت هي السياسة طوال الوقت.