Cara mengurangi risiko akses tidak sah akibat kebocoran kredensial - Object Storage Service

Jika pasangan Kunci Akses milik pengguna individu atau perusahaan bocor, pihak yang tidak berwenang dapat melakukan operasi pada resource Object Storage Service (OSS), sehingga mengancam keamanan data. Untuk mengatasi hal ini, OSS menyediakan praktik terbaik guna memastikan keamanan data.

Penting

Praktik terbaik berikut merupakan langkah-langkah keamanan umum, bukan solusi keamanan lengkap. Praktik ini hanya diberikan sebagai referensi dan mungkin tidak sesuai dengan skenario bisnis Anda. Kami menyarankan agar Anda tetap waspada terhadap ancaman keamanan data dan menerapkan langkah pencegahan yang diperlukan.

Tetapkan ACL bucket atau objek Anda ke private

Jangan menetapkan daftar kontrol akses (ACL) bucket atau objek Anda ke public-read atau public-read-write kecuali bisnis Anda benar-benar mengharuskan semua pengguna, termasuk pengguna anonim, untuk membaca dan menulis data ke resource OSS Anda. Misalnya, jika Anda menetapkan ACL sebuah bucket ke public-read atau public-read-write, perubahan berikut akan berlaku:

Public-read-write: Semua pengguna, termasuk pengguna anonim, dapat membaca dan menulis data ke objek dalam bucket tersebut.

Peringatan
Semua pengguna Internet dapat mengakses dan menulis data ke objek dalam bucket tersebut. Hal ini berpotensi menyebabkan kebocoran data serta biaya tak terduga yang tinggi. Jika seseorang menulis data atau informasi terlarang ke objek dalam bucket tersebut, kepentingan dan hak sah Anda mungkin dilanggar. Oleh karena itu, kami sangat menyarankan agar Anda tidak menetapkan ACL bucket ke public-read-write kecuali benar-benar diperlukan.
Public-read: Hanya pemilik bucket yang dapat menulis data ke objek dalam bucket tersebut, sedangkan pengguna lain, termasuk pengguna anonim, hanya dapat membaca data dari objek tersebut.

Peringatan
Semua pengguna Internet dapat mengakses objek dalam bucket. Hal ini berpotensi menyebabkan kebocoran data serta biaya tak terduga yang tinggi. Berhati-hatilah saat menetapkan ACL bucket ke public-read.

Bucket atau objek yang mengizinkan akses public-read atau public-read-write berisiko menyebabkan pelanggaran data. Oleh karena itu, kami menyarankan agar Anda menetapkan ACL bucket atau objek ke private. Dengan pengaturan private, hanya pemilik bucket yang dapat membaca dan menulis data ke objek dalam bucket tersebut. Pastikan bahwa perubahan ini tidak mengganggu operasional bisnis Anda sebelum mengubah ACL menjadi private.

Anda dapat menggunakan beberapa metode untuk menetapkan ACL bucket atau objek ke private. Untuk informasi selengkapnya, lihat ACL Bucket dan Konfigurasi ACL untuk objek.

Jangan sertakan pasangan Kunci Akses dalam bentuk teks biasa di kode atau menyimpan pasangan Kunci Akses yang dienkripsi secara lokal

Pasangan Kunci Akses dalam bentuk teks biasa di kode dapat bocor bersamaan dengan kode tersebut. Pasangan Kunci Akses yang dienkripsi dan disimpan secara lokal juga tidak aman karena konten terenkripsi beserta hasil dekripsinya tetap tersimpan di memori, yang dapat disalin ke perangkat lain. Aplikasi mobile dan aplikasi desktop rentan terhadap risiko ini. Untuk mendapatkan data yang telah didekripsi, penyerang cukup menggunakan teknik seperti injection, API hooking, dan dynamic debugging.

Untuk menghindari penyertaan pasangan Kunci Akses dalam bentuk teks biasa di kode, Anda dapat menggunakan Plugin rahasia terkelola untuk Alibaba Cloud SDK di server. Pendekatan ini mencegah kebocoran pasangan Kunci Akses melalui kode sumber atau kode terkompilasi. Untuk informasi selengkapnya tentang Plugin rahasia terkelola untuk Alibaba Cloud SDK, lihat Plugin rahasia terkelola untuk Alibaba Cloud SDK.

Penting

Metode ini tidak berlaku untuk klien. Jangan menyematkan pasangan Kunci Akses di klien.

Akses OSS menggunakan RAM user

Pasangan Kunci Akses Akun Alibaba Cloud memiliki izin atas semua operasi API. Menggunakan kredensial ini untuk melakukan operasi di OSS merupakan operasi berisiko tinggi. Kami menyarankan agar Anda menggunakan RAM user untuk memanggil operasi API atau menjalankan tugas O&M rutin.

Anda dapat membuat RAM user dan memberikan izin berbeda kepada RAM user tersebut untuk mengelola akses ke resource Anda. RAM membantu Anda menjaga kerahasiaan ketat akun dan password Alibaba Cloud Anda dalam skenario di mana beberapa pengguna di perusahaan Anda perlu mengelola resource cloud secara kolaboratif. RAM juga memungkinkan Anda memberikan izin minimal yang diperlukan kepada pengguna guna memastikan keamanan data. Untuk informasi selengkapnya, lihat Buat RAM user.

Setelah membuat RAM user, Anda dapat menggunakan kebijakan RAM untuk memberikan izin kepada RAM user tersebut. Dengan demikian, Anda dapat mengelola pengguna—seperti karyawan, sistem, dan aplikasi—serta mengontrol resource yang dapat diakses oleh mereka. Sebagai contoh, Anda dapat menggunakan kebijakan RAM berikut untuk mencegah RAM user tertentu mengakses bucket bernama examplebucket serta objek atau direktori di dalamnya.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "oss:*",
            "Resource": [
                "acs:oss:*:*:examplebucket",
                "acs:oss:*:*:examplebucket/*"
            ]
        }
    ]
}

Anda juga dapat menggunakan kebijakan RAM untuk mencegah RAM user menghapus direktori dalam bucket atau memberikan otorisasi hanya untuk membaca resource dalam bucket. Untuk informasi selengkapnya, lihat Contoh umum kebijakan RAM.

Aktifkan MFA

Autentikasi Multi-Faktor (MFA) adalah metode autentikasi yang mudah digunakan dan efektif. Jika Anda mengaktifkan MFA, Anda memerlukan username, password, dan kode verifikasi dinamis yang dihasilkan oleh perangkat MFA saat login ke Konsol Manajemen Alibaba Cloud. Dengan demikian, akses tidak sah dapat diblokir meskipun password Anda bocor, sehingga keamanan akun Alibaba Cloud Anda tetap terjaga.

Anda dapat mengaktifkan MFA untuk akun Alibaba Cloud Anda. Untuk informasi selengkapnya, lihat Ikat perangkat MFA ke akun Alibaba Cloud. Anda juga dapat mengaktifkan MFA untuk RAM user. Untuk informasi selengkapnya, lihat Ikat perangkat MFA ke RAM user.

Akses OSS menggunakan kredensial akses temporary yang disediakan oleh STS

Anda dapat menggunakan Security Token Service (STS) untuk menghasilkan kredensial akses temporary guna memberikan otorisasi kepada RAM user untuk mengakses resource OSS Anda dalam periode waktu tertentu. Pendekatan ini menghindari kebutuhan untuk membagikan pasangan Kunci Akses Anda, sehingga meningkatkan keamanan data.

Untuk informasi selengkapnya tentang cara mengakses OSS menggunakan kredensial akses temporary yang disediakan oleh STS, lihat Gunakan kredensial temporary yang disediakan oleh STS untuk mengakses OSS.

Konfigurasi kebijakan bucket

Anda dapat mengonfigurasi kebijakan bucket untuk memberikan izin kepada pengguna lain mengakses resource OSS tertentu dalam sebuah bucket. Misalnya, Anda dapat mengonfigurasi kebijakan bucket untuk memberikan izin kepada akun lain mengakses atau mengelola sebagian atau seluruh resource dalam bucket Anda. Anda juga dapat mengonfigurasi kebijakan bucket untuk memberikan izin berbeda kepada RAM user yang berbeda dalam akun yang sama.

Saat mengonfigurasi kebijakan bucket, ikuti prinsip hak istimewa minimal (PoLP) untuk mengurangi risiko keamanan.

Jangan memberikan izin akses ke semua resource dalam bucket Anda

Untuk mencegah pemberian izin berlebihan dan akses ilegal, kami menyarankan agar Anda hanya memberikan izin pada jalur resource yang benar-benar diperlukan.
Jangan izinkan akses anonim

Akun anonim dapat digunakan untuk mengakses OSS jika titik akhir dan nama bucket diketahui. Namun, titik akhir dapat dienumerasi, dan nama bucket dapat diperoleh dari URL objek yang dapat diakses. Oleh karena itu, akses anonim meningkatkan risiko keamanan.
Tentukan Action secara eksplisit

Saat mengonfigurasi kebijakan bucket di konsol OSS, opsi Action yang menyediakan empat operasi otorisasi hanyalah metode praktis bagi pengguna untuk mengonfigurasi kebijakan, namun action yang ditentukan mungkin tidak sesuai dengan kebutuhan bisnis Anda. Kami menyarankan agar Anda hanya memberikan izin yang diperlukan melalui Advanced Settings. Misalnya, izin read-only mencakup oss:ListObjects dan oss:GetObject. Dalam sebagian besar skenario, hanya izin oss:GetObject yang diperlukan untuk mengunduh objek.
Aktifkan HTTPS untuk akses

Anda dapat mengaktifkan HTTPS untuk mengatasi isu seperti serangan man-in-the-middle dan pembajakan domain. Selain itu, jika Anda menggunakan Google Chrome untuk mengakses website HTTPS, resource HTTP pada website tersebut tidak dapat dimuat secara default. Pastikan Anda mengaktifkan HTTPS, karena ini merupakan metode paling hemat biaya untuk mengatasi berbagai masalah tersebut.
Tentukan alamat IP sumber

Jika alamat IP yang digunakan untuk mengakses resource OSS bersifat tetap dan dapat dienumerasi, kami menyarankan agar Anda membatasi akses hanya dari alamat IP tersebut.

Sebagai contoh, Anda dapat menggunakan kebijakan bucket untuk memberikan izin kepada RAM user bernama Test agar dapat mengunduh semua objek dalam direktori log di examplebucket menggunakan OSS SDK atau alat baris perintah ossutil.

Tetapkan Action ke Advanced Settings dan pilih oss:GetObject. Tetapkan Effect ke Allow. Di bagian Condition, pilih HTTPS untuk Access Method dan masukkan 10.10.10.10 untuk IP =. Lalu, klik OK.