Qt Network Sicherheitshinweise zur Autorisierung

Diese Seite behandelt Sicherheitsaspekte für Anwendungen, die die Autorisierung nach dem „Qt Network “-Prinzip nutzen. Ein Großteil der hier enthaltenen Informationen konzentriert sich auf das OAuth 2.0-Autorisierungsframework und OpenID.

Informationen zum OAuth 2.0-Protokollablauf finden Sie in RFC 6749 und zu Sicherheitsaspekten bei nativen Anwendungen in RFC 8252.

Zugriffskontrolle

Die Zugriffskontrolle umfasst die Bereitstellung von Ressourcen für Benutzer mithilfe eines Systems zur Überprüfung von Identitäten und Berechtigungen. Die Zugriffskontrolle umfasst somit Autorisierungs-, Authentifizierungs- und Protokollierungsdienste. Die API der „ Qt Network “-Autorisierung implementiert die Zugriffskontrolle mit Schwerpunkt auf dem OAuth 2.0-Autorisierungsframework. Die „ Qt Network “-Autorisierung unterstützt den Autorisierungscode-Ablauf (mit PKCE) sowie den Geräteautorisierungsablauf.

Für Systeme ist eine bewusste Trennung nach Berechtigungen und Zugriffsrechten der erste Schritt der Zugriffskontrolle. Benutzerkategorien können festlegen, welche Gruppen auf bestimmte Ressourcen und Dienste zugreifen dürfen. Ebenso können Zugriffsrechte für Ressourcen oder Dienste bestimmen, welche Aktionen darauf möglich sind. Fordern Sie nur die OAuth-Bereiche an, die Ihre Anwendung benötigt. Die Begrenzung des Bereichs verringert die potenziellen Auswirkungen, falls Tokens kompromittiert werden.

Systeme müssen zudem eine Zugriffsverwaltung implementieren, um Flexibilität und Überwachung zu gewährleisten. Die Bereitstellung von Zugriffsrechten und Diensten muss Teil des Systemdesigns sein, damit Benutzer und Ressourcen einfach hinzugefügt oder entfernt werden können, ohne die Sicherheit zu gefährden. Aktivitätsprotokolle unterstützen Audits und Sicherheitsanalysen.

Ein bekanntes Konzept ist die rollenbasierte Zugriffskontrolle (RBAC).

Authentifizierung und Single Sign-On

Bei der Authentifizierung wird die Identität eines Benutzers überprüft. Schwache Authentifizierungsmethoden führen dazu, dass falschen Benutzern Zugriff gewährt wird, was zur Offenlegung privater Daten und zur Ausführung böswilliger Aktionen führen kann.

Vernetzte Anwendungen müssen die Identität von Benutzern überprüfen, die auf eingeschränkte Ressourcen zugreifen. In der Regel überprüfen Anwendungen die Identität von Benutzern, indem sie Anmeldedaten wie Benutzername und Passwort in einer bestehenden Datenbank abgleichen. Diese Methode ist anfällig für falsche Authentifizierungen und Datenlecks. Viele Abwehrmaßnahmen beziehen sich auf das Benutzerverhalten, und Anwendungen können Sicherheitsrichtlinien durchsetzen, beispielsweise die Vorgabe sicherer Passwörter. Anwendungen können die Validatoren und Widgets von Qt nutzen, um Benutzer durch Meldungen anzuleiten und die Erstellung schwacher Passwörter zu verhindern.

Der Einsatz eines zentralisierten Authentifizierungssystems wie Single Sign-On (SSO) kann die unsachgemäße Verwaltung von Passwörtern und Identitäten minimieren.

Qt Network Die Autorisierung kann JSON-Web-Tokens (JWT) über OpenID Connect abrufen, eine Identitätsschicht auf Basis von OAuth 2.0. Häufig sind Authentifizierung und Autorisierung Teil desselben Systems. Behandeln Sie Zugriffstoken, Aktualisierungstoken und ID-Token als sensible Daten. Speichern Sie diese sicher mithilfe des plattformeigenen sicheren Speichers oder durch Verschlüsselung. Speichern Sie Token nicht im Klartext.

Autorisierung und Ressourcenbereitstellung

Bei der Autorisierung wird geprüft, ob ein Benutzer basierend auf seinen Berechtigungen und Zugriffsrechten Zugriff auf eine Ressource hat. Ohne ordnungsgemäße Autorisierung können Benutzer auf eine Ressource zugreifen und Aktionen ausführen, obwohl sie nicht dazu berechtigt sind. Angreifer können die Integrität von Daten verändern und beeinträchtigen oder Ressourcen missbrauchen, was zu einem Denial-of-Service führen kann.

Führen Sie als grundlegende Vorsichtsmaßnahme Autorisierungsprüfungen durch, bevor Aktionen ausgeführt werden, die zu einem Missbrauch von Ressourcen führen können. Diese Prüfung kann immer dann erfolgen, wenn Benutzer auf serverseitige Ressourcen zugreifen. Die Berechtigungen des Benutzers und die Zugriffsrechte für die Ressourcen bestimmen, ob der Benutzer eine Aktion an der Ressource ausführen darf. Je nach Ressource können zusätzliche Autorisierungsprüfungen erforderlich sein. Entziehen Sie Zugriffs- und Aktualisierungstoken, wenn sich Benutzer abmelden oder wenn Ihre Anwendung diese nicht mehr benötigt.

Verwenden Sie einen externen User-Agent

Gemäß RFC 8252 können Anwendungen für den Autorisierungs-Endpunkt entweder einen externen oder einen eingebetteten User-Agent verwenden, wie in OAuth 2.0 definiert. Eingebettete User-Agents sind in der Regel die Webviews, die innerhalb der Anwendung bereitgestellt und gesteuert werden. Externe User-Agents sind die Systembrowser oder andere Anwendungen, die nicht von der anfragenden Anwendung gesteuert werden.

RFC 8252 empfiehlt die Verwendung externer User-Agents anstelle von eingebetteten Webviews für die Autorisierung. Die Anwendung kontrolliert den eingebetteten User-Agent und kann den privilegierten Zugriff zwischen der Anwendung und dem Autorisierungsknoten nicht trennen. Diese Konfiguration ist unsicher, da die Anwendung Tastenanschläge aufzeichnen und den Nutzern ein falsches Gefühl der Sicherheit vermitteln kann. Allerdings können ordnungsgemäß konfigurierte eingebettete Browser wie Qt WebEngine auch verwendet werden, wenn externe User-Agents nicht praktikabel sind.

Zudem können Browser-Tabs und gespeicherte Anmeldedaten die Benutzererfahrung vereinfachen, wenn der Systembrowser als externer User-Agent dient. So können Benutzer beispielsweise ihre im Browser gespeicherten Benutzernamen und Passwörter verwenden. Ebenso erhöht die Verwendung von Passwortmanagern als externer User-Agent die Einfachheit und das Vertrauen.

PKCE und Statusparameter

„Proof Key for Code Exchange“ (PKCE) schützt vor Angriffen durch das Abfangen von Autorisierungscodes im Autorisierungscode-Ablauf. Die Qt Network -Autorisierung aktiviert PKCE standardmäßig.

Qt Network Die Autorisierung generiert standardmäßig zufällige Statuswerte, um Cross-Site-Request-Forgery-Angriffe (CSRF) zu verhindern. Wenn Sie den Statusparameter überschreiben, vermeiden Sie die Verwendung fest codierter Zeichenfolgen.

Plattformspezifische Überlegungen

Die Behandlung von Redirect-URIs variiert je nach Plattform. Auf mobilen Plattformen können HTTPS-Redirect-URIs sicher über von der App beanspruchte URLs verarbeitet werden. Auf Desktop-Plattformen bleiben HTTP-Redirect-URIs zu „localhost“ eine gültige Option für native Anwendungen.

Sicherheitsressourcen für verbundene Anwendungen

Hier finden Sie Ressourcen mit Leitlinien zur Cybersicherheit:

• Common Weakness Enumeration – Ein Katalog bekannter Schwachstellen und möglicher Abhilfemaßnahmen.
• OWASP-Cheat-Sheet-Reihe – Eine Auflistung verschiedener Themen zur Absicherung von Anwendungen.
• RFC 6749 – OAuth 2.0-Autorisierungsframework
• RFC 8252 – OAuth 2.0 für native Apps
• RFC 7636 – Proof Key for Code Exchange (PKCE)