Hashing dei token per una maggiore sicurezza

Stai visualizzando la documentazione di Apigee Edge.
Vai alla documentazione di Apigee X.
informazioni

Per proteggere i token di accesso e di aggiornamento OAuth in caso di violazione della sicurezza del database, puoi abilitare l'hashing automatico dei token nella tua organizzazione Edge. Quando la funzionalità è abilitata, Edge crea automaticamente una versione sottoposta ad hashing dei token di accesso e di aggiornamento OAuth appena generati utilizzando l'algoritmo specificato. Di seguito sono riportate informazioni sull'hashing collettivo dei token esistenti. I token non sottoposti ad hashing vengono utilizzati nelle chiamate API ed Edge li convalida in base alle versioni con hash nel database.

Se sei un cliente Edge Cloud

Se sei un cliente Edge Cloud, contatta l'assistenza Apigee per abilitare l'hashing nella tua organizzazione e, facoltativamente, per eseguire l'hashing in blocco dei token esistenti.

Se sei un cliente Edge for Private Cloud

Gli amministratori di Edge per cloud privato possono attivare l'hashing dei token impostando queste proprietà a livello di organizzazione tramite la chiamata API di gestione riportata di seguito:

features.isOAuthTokenHashingEnabled = true

features.OAuthTokenHashingAlgorithm = SHA1 | SHA256 | SHA384 | SHA512 | PLAIN

Se disponi di token con hash esistenti e vuoi conservarli fino alla scadenza, imposta le seguenti proprietà nella tua organizzazione, in cui l'algoritmo di hashing corrisponde a quello esistente (ad esempio SHA1, il precedente valore predefinito di Edge). Se i token non sono stati sottoposti ad hashing, utilizza PLAIN.

features.isOAuthTokenFallbackHashingEnabled = true

features.OAuthTokenFallbackHashingAlgorithm = SHA1 | SHA256 | SHA384 | SHA512 | PLAIN

Di seguito è riportata una chiamata API di esempio per abilitare l'hashing dei token. Assicurati di includere tutte le proprietà esistenti dell'organizzazione nel payload. In caso contrario, tutte le proprietà esistenti dell'organizzazione vengono sovrascritte solo dalle proprietà impostate con questa chiamata.

curl -u email:password -X PUT -H "Content-type:application/xml" https://host:port/v1/o/{myorg} -d \
"<Organization type="trial" name="MyOrganization">
    <Properties>
        <Property name="features.isOAuthTokenHashingEnabled">true</Property>
        <Property name="features.OAuthTokenHashingAlgorithm">SHA256</Property>
        <Property name="features.isOAuthTokenFallbackHashingEnabled">true</Property>
        <Property name="features.OAuthTokenFallbackHashingAlgorithm">SHA1</Property>
        <Property...(an existing property)
        <Property...(an existing property)
        <Property...(an existing property)
    </Properties>
</Organization>"