Что такое «aws_security_token», используемый для

Question

Я хочу использовать предварительно подписанные URL-адреса с AWS S3. Я заметил, что предварительно подписанный URL-адрес включает aws_access_key_id и aws_security_token.

С моей точки зрения, aws_security_token является частью URL-адреса, потому что я использую временные учетные данные безопасности, и это необходимо для правильной подписи URL-адреса.

Но хорошо ли указать URL-адрес, чтобы сказать, что клиент-интерфейс для загрузки изображения? aws_security_token является частью URL (не зашифрован). Меня беспокоит безопасность, и я не мог понять, в чем заключается цель этого токена. И что злоумышленник может сделать с моими aws_access_key_id и aws_security_token.

Answer 1

Да, aws_access_key_id и aws_security_token (если они есть) считаются безопасными для раскрытия.

Для того, чтобы иметь возможность причинить вред, теоретическому действию злоумышленника необходимо было бы перепроектировать третий компонент - секрет ключа доступа aws на основе параметров запроса и подписи, чтобы они могли генерировать действительные альтернативные подписи для альтернативных запросов ,

Если бы это было возможно, злоумышленник мог бы выполнить любое действие, которое могут иметь временные полномочия, однако это потребует повторного проектирования нескольких раундов HMAC-SHA-256 и считается вычислительно неосуществимым ,

Кроме того, при использовании временных учетных данных (где вы увидите aws_security_token) учетные данные действительны только в течение короткого времени, так или иначе, поэтому даже если обратное проектирование было практичным, это необходимо было бы сделать в непрактично короткий период времени.

Сам токен безопасности - предположительно - это подписанное и зашифрованное сообщение, описывающее разрешения, которые сопровождают ключ и секретный ключ временного доступа, облегчая децентрализацию решений авторизации на основе токенов в рамках AWS. Независимо от его фактического содержания (которое, как представляется, не документировано), оно не является независимо полезным без сопутствующего идентификатора ключа доступа и секретности - и секрет не раскрывается в подписанном URL-адресе и не может быть правдиво обратным как было сказано выше. Ключ временного доступа и секрет, наоборот, бесполезны без токена.