مأموریت 6 · ساختن مرزها
صندوق گنج خالی
اطلاعات واقعی احراز هویت را بیرون از محیط عامل نگه دارید.
مهاجمی همهٔ فایل‌ها و متغیرهای محیطیِ نمونهٔ اجرایی ربات رضا را خوانده است. دیگر نمی‌توانید جلوی این خواندن را بگیرید. اما می‌توانید تصمیم بگیرید از ابتدا چه چیزهایی آنجا بوده باشد.
مهاجم
«تنظیمات ربات را پیدا کردم. حالا وقت دزدیدن کلید واقعی API و توکن ربات است.»
تصمیم شما
کدام روش نگهداری، بهتر از بقیه سرقت اطلاعات احراز هویت را محدود می‌کند؟
- اطلاعات واقعی احراز هویت را در فایلی به نام secret.txt بگذارید
نام فایل به همه هشدار می‌دهد که آن را باز نکنند. - به ربات توکن‌های جایگزین بدهید؛ اطلاعات واقعی احراز هویت را در پراکسی آن نگه دارید
فقط پراکسیِ کنترل‌شده، توکن‌های جایگزین را با مقدارهای واقعی عوض می‌کند. - اطلاعات واقعی احراز هویت را در متغیرهای محیطی ربات بگذارید
این اطلاعات در پنجرهٔ عادی گفت‌وگو دیده نمی‌شوند.
نمایش توضیح
مهاجم توکن‌های جایگزین را پیدا می‌کند، نه کلید واقعی ارائه‌دهنده یا توکن واقعی ربات تلگرام را. این جایگزین‌ها همچنان از طریق پراکسیِ مجاز توان انجام کار دارند؛ پس آن‌ها هم باید کنترل شوند و پس از نفوذ با توکن‌های تازه عوض شوند.
نمی‌توان اطلاعات محرمانهٔ واقعی را از جایی دزدید که هرگز وارد آن نشده‌اند.- پراکسی اطلاعات واقعی احراز هویت را نگه می‌دارد و هنگام خروج درخواست، آن‌ها را در درخواست قرار می‌دهد.
- توکن‌های جایگزین، اگر مستقیماً به تلگرام یا ارائه‌دهندهٔ مدل فرستاده شوند، اطلاعات احراز هویت معتبری نیستند.
- توکن‌های واقعی را در این بازی، در گفت‌وگوها یا در نمونهٔ اجرایی ربات وارد نکنید. این فقط یک شبیه‌سازی آموزشی است.
اطلاعات احراز هویت
اطلاعاتی محرمانه، مانند کلید API یا توکن ربات، که به دارندهٔ آن اجازه می‌دهد از طرف یک حساب یا سرویس عمل کند.