Помимо HMAC: Передовые методы обеспечения безопасности вебхуков (RU)

Проверяйте IP-адреса источникаИспользуйте белый список IP-адресов, чтобы гарантировать, что запросы вебхуков поступают только с доверенных серверов Didit, добавляя решающий уровень сетевой безопасности помимо проверки подписи.

Обеспечьте целостность и подлинность полезной нагрузкиВсегда проверяйте подписи вебхуков, используя общий секретный ключ, чтобы подтвердить, что полезная нагрузка не была подделана и действительно исходит от ожидаемого отправителя.

Предотвращение атак повторного воспроизведения с помощью временных меток и одноразовых кодовВключите такие механизмы, как временные метки и уникальные одноразовые коды в обработку ваших вебхуков для обнаружения и отклонения дублирующихся или неупорядоченных запросов, защищая от вредоносных повторных воспроизведений.

Безопасная архитектура вебхуков DiditDidit предлагает надежную, корпоративную безопасность вебхуков с такими функциями, как проверка подписи HMAC, рекомендуемый формат полезной нагрузки v3 и безопасное вращение секретных ключей, гарантируя постоянную защиту ваших уведомлений о проверке личности в реальном времени.

Вебхуки стали незаменимым инструментом для обмена данными в реальном времени между сервисами, обеспечивая мгновенные обновления и асинхронные рабочие процессы. Для компаний, использующих проверку личности, вебхуки предоставляют критически важную информацию о статусе проверок KYC, результатах обнаружения активности и многом другом. Однако удобство вебхуков сопряжено с присущими рисками безопасности. Хотя проверка подписи HMAC (код аутентификации сообщения на основе хеша) является основополагающим шагом, полагаться исключительно на нее уже недостаточно в современном ландшафте угроз. Это руководство углубляется в передовые методы обеспечения безопасности вебхуков, которые выходят за рамки базового HMAC, обеспечивая устойчивость ваших систем к сложным атакам.

Основа: Проверка подписи HMAC и целостность полезной нагрузки

По своей сути, проверка подписи HMAC обеспечивает две вещи: целостность полезной нагрузки и подлинность отправителя. Когда Didit отправляет вебхук, он вычисляет уникальную подпись на основе содержимого полезной нагрузки и секретного ключа, известного только Didit и вашему приложению. Затем ваше приложение выполняет тот же расчет. Если подписи совпадают, вы можете быть уверены, что полезная нагрузка не была изменена при передаче и что она поступила от Didit.

Didit настоятельно рекомендует использовать версию полезной нагрузки вебхука v3, которая разработана для повышения безопасности и расширения данных. Получение конфигурации вашего вебхука, включая secret_shared_key, осуществляется просто через API Didit, что позволяет реализовать этот критический шаг проверки. Этот секретный ключ имеет первостепенное значение; относитесь к нему с такой же осторожностью, как и к любому другому конфиденциальному ключу API. Никогда не встраивайте его непосредственно в ваше приложение и убедитесь, что он надежно хранится в переменных среды или службе управления секретами.

Помимо подписей: Белый список IP-адресов для повышения сетевой безопасности

Даже при надежной проверке HMAC злоумышленник может попытаться отправить поддельные запросы вебхуков. Дополнительным уровнем защиты является белый список IP-адресов. Настроив ваш брандмауэр или веб-сервер на прием входящих запросов вебхуков только с определенного набора доверенных IP-адресов, вы можете значительно сократить поверхность атаки. Это гарантирует, что даже если ключ подписи будет каким-либо образом скомпрометирован, запросы из неразрешенных диапазонов IP-адресов будут заблокированы на границе сети.

Хотя инфраструктура вебхуков Didit разработана для высокой доступности и может использовать динамический диапазон IP-адресов, крайне важно, чтобы вы оставались в курсе официальной документации Didit о любых объявленных диапазонах IP-адресов. Внедрение белого списка IP-адресов обеспечивает эффективную первую линию защиты, предотвращая несанкционированный доступ к вашим конечным точкам вебхуков. Эта практика работает в сочетании с HMAC, а не вместо него, предлагая глубокую защиту.

Борьба с атаками повторного воспроизведения: Временные метки и одноразовые коды

Атака повторного воспроизведения происходит, когда злоумышленник перехватывает законный запрос вебхука и повторно отправляет его позже, потенциально вызывая дублирующиеся действия или несанкционированные изменения состояния в вашей системе. Один только HMAC не предотвратит это, так как повторно воспроизведенный запрос по-прежнему будет иметь действительную подпись.

Для смягчения атак повторного воспроизведения включите временные метки и одноразовые коды (числа, используемые один раз) в обработку ваших вебхуков. Вебхуки Didit включают временную метку в полезную нагрузку. Ваше приложение должно:

1. Проверить, является ли временная метка недавней (например, в течение 5 минут от текущего времени). Запросы старше этого порога должны быть отклонены.
2. Поддерживать кэш недавно обработанных уникальных идентификаторов (например, идентификатор запроса или комбинацию временной метки и хеша полезной нагрузки) в течение короткого периода. Если идентификатор входящего запроса совпадает с идентификатором в кэше, это повторное воспроизведение, и он должен быть отклонен.

Этот двухсторонний подход гарантирует, что запросы являются как своевременными, так и уникальными, эффективно сводя на нет воздействие атак повторного воспроизведения. Для критически важных событий проверки личности, таких как те, которые указывают на успешную проверку удостоверения личности или проверку активности через платформу Didit, предотвращение повторных воспроизведений имеет решающее значение для поддержания точных статусов пользователей и предотвращения двойной обработки.

Безопасное управление секретами и их ротация

Безопасность ваших вебхуков сильно зависит от секретности вашего общего ключа. Лучшие практики диктуют, что секретные ключи должны быть:

• Надежными и случайными: Генерируйте длинные, сложные ключи, которые практически невозможно угадать.
• Безопасно храниться: Используйте переменные среды, выделенные службы управления секретами (например, AWS Secrets Manager, HashiCorp Vault) или защищенные файлы конфигурации. Никогда не фиксируйте их в системе контроля версий.
• Регулярно ротироваться: Даже при наилучших мерах безопасности ключи со временем могут быть скомпрометированы. Регулярная ротация ограничивает окно возможностей для злоумышленника. Didit предоставляет конечную точку API для обновления конфигурации вашего вебхука, включая возможность rotate_secret_key одним вызовом. Это мгновенно аннулирует старый ключ и генерирует новый, оптимизируя вашу гигиену безопасности.
• Контролироваться на доступ: Внедряйте строгий контроль доступа к тому, кто может просматривать или изменять эти ключи.

Проактивное управление секретами является краеугольным камнем надежной системы безопасности, особенно при работе с конфиденциальными данными личности, обрабатываемыми службами Didit для проверки личности, активности или AML-проверки.

Как Didit помогает

Didit предоставляет полностью нативную для ИИ, ориентированную на разработчиков платформу идентификации, построенную с корпоративным уровнем безопасности с нуля, что делает безопасность вебхуков неотъемлемой частью ее предложения. Наша модульная архитектура позволяет вам создавать рабочие процессы проверки, а наши вебхуки спроектированы для безопасной и эффективной доставки обновлений в реальном времени.

• Надежная проверка HMAC: Вебхуки Didit включают криптографически защищенные подписи, и мы рекомендуем полезную нагрузку v3 для оптимальной безопасности и полноты данных. Наша платформа позволяет легко получать и управлять вашим secret_shared_key.
• Безопасное вращение секретных ключей: Через API Didit вы можете легко ротировать секретный ключ вашего вебхука, немедленно аннулируя старый и генерируя новый, повышая уровень вашей безопасности без простоев.
• Подробная конфигурация вебхуков: У вас есть полный контроль над настройками вашего вебхука, включая URL, версию, методы захвата (мобильный, настольный, оба) и политики хранения данных, все это настраивается через API.
• Сертификации соответствия и безопасности: Didit сертифицирован по ISO 27001, соответствует GDPR и имеет сертификат iBeta Level 1 для обнаружения активности, демонстрируя нашу приверженность высочайшим стандартам информационной безопасности и конфиденциальности данных. Это распространяется и на безопасную передачу данных через наши вебхуки.
• Бесплатный Core KYC: Didit предлагает Free Core KYC, позволяя компаниям внедрять необходимую проверку личности без первоначальных затрат, при этом извлекая выгоду из нашей безопасной и надежной инфраструктуры вебхуков для обновлений в реальном времени.

Используя безопасные возможности вебхуков Didit, вы можете уверенно интегрировать уведомления о проверке личности в реальном времени в свои приложения, зная, что данные защищены передовыми отраслевыми стандартами безопасности.

Готовы начать?

Готовы увидеть Didit в действии? Получите бесплатную демонстрацию сегодня.

Начните бесплатно проверять личность с помощью бесплатного уровня Didit.