Cognito User Pools
Cognito User Pools
Basic Information
Maktaba ya mtumiaji ni directory ya watumiaji katika Amazon Cognito. Kwa maktaba ya mtumiaji, watumiaji wako wanaweza kuingia kwenye programu yako ya wavuti au simu kupitia Amazon Cognito, au kuunganishwa kupitia mtoa huduma wa kitambulisho wa third-party (IdP). Iwe watumiaji wako wanaingia moja kwa moja au kupitia upande wa tatu, wanachama wote wa maktaba ya mtumiaji wana wasifu wa directory ambao unaweza kufikia kupitia SDK.
Maktaba za watumiaji zinatoa:
Huduma za kujiandikisha na kuingia.
UI ya wavuti iliyojengwa ndani, inayoweza kubadilishwa kuingia watumiaji.
Kuingia kwa kijamii na Facebook, Google, Login with Amazon, na Sign in with Apple, na kupitia mtoa huduma wa kitambulisho wa SAML na OIDC kutoka kwa maktaba yako ya watumiaji.
Usimamizi wa directory ya watumiaji na wasifu wa watumiaji.
Vipengele vya usalama kama uthibitishaji wa hatua nyingi (MFA), ukaguzi wa akidi zilizovunjika, ulinzi wa kuchukua akaunti, na uthibitishaji wa simu na barua pepe.
Mifumo iliyobadilishwa na uhamaji wa watumiaji kupitia AWS Lambda triggers.
Source code ya programu kawaida pia itakuwa na user pool ID na client application ID, (na wakati mwingine application secret?) ambazo zinahitajika kwa mtumiaji kuingia kwenye Maktaba ya Mtumiaji ya Cognito.
Potential attacks
Usajili: Kwa default mtumiaji anaweza kujiandikisha mwenyewe, hivyo anaweza kuunda mtumiaji kwa ajili yake mwenyewe.
Uainishaji wa watumiaji: Kazi ya usajili inaweza kutumika kupata majina ya watumiaji ambayo tayari yapo. Taarifa hii inaweza kuwa muhimu kwa shambulio la brute-force.
Login brute-force: Katika sehemu ya Authentication una mbinu zote ambazo mtumiaji anapaswa kuingia, unaweza kujaribu kujaribu nguvu kupata akidi halali.
Tools for pentesting
Pacu, sasa inajumuisha moduli za
cognito__enumnacognito__attackambazo zinafanya otomatiki uainishaji wa mali zote za Cognito katika akaunti na kuashiria usanidi dhaifu, sifa za mtumiaji zinazotumika kwa udhibiti wa ufikiaji, nk, na pia zinafanya otomatiki uundaji wa mtumiaji (ikiwemo msaada wa MFA) na kupandisha hadhi kulingana na sifa za kawaida zinazoweza kubadilishwa, akidi zinazoweza kutumika za identity pool, majukumu yanayoweza kuchukuliwa katika tokens za id, nk. Kwa maelezo ya kazi za moduli angalia sehemu ya 2 ya blog post. Kwa maelekezo ya usakinishaji angalia ukurasa mkuu wa Pacu.
Cognito Scanner ni chombo cha CLI katika python ambacho kinatekeleza mashambulizi tofauti kwenye Cognito ikiwa ni pamoja na uundaji wa akaunti zisizohitajika na oracle ya akaunti. Angalia hii kiungo kwa maelezo zaidi.
CognitoAttributeEnum: Hii skripti inaruhusu kuhesabu sifa halali za watumiaji.
Usajili
User Pools inaruhusu kwa default kujiandikisha watumiaji wapya.
Ikiwa mtu yeyote anaweza kujiandikisha
Unaweza kupata kosa linaloonyesha kuwa unahitaji kutoa maelezo zaidi kuhusu mtumiaji:
Unaweza kutoa maelezo yanayohitajika kwa JSON kama:
Unaweza kutumia hii kazi pia kuorodhesha watumiaji waliopo. Hii ndiyo ujumbe wa kosa wakati mtumiaji tayari yupo na jina hilo:
Kumbuka katika amri iliyopita jinsi sifa za kawaida zinavyoanza na "custom:". Pia fahamu kwamba unapojisajili huwezi kuunda sifa mpya za kawaida kwa mtumiaji. Unaweza tu kutoa thamani kwa sifa za kawaida (hata kama hazihitajiki) na sifa za kawaida zilizotajwa.
Au tu kujaribu kama kitambulisho cha mteja kinapatikana. Hii ndiyo hitilafu ikiwa kitambulisho cha mteja hakipo:
Ikiwa tu admin anaweza kujiandikisha watumiaji
Utapata kosa hili na huwezi kujiandikisha au kuhesabu watumiaji:
Verifying Registration
Cognito inaruhusu kuhakiki mtumiaji mpya kwa kuangalia barua pepe yake au nambari ya simu. Hivyo, unapounda mtumiaji kwa kawaida utahitajika angalau jina la mtumiaji na nenosiri na barua pepe na/au nambari ya simu. Weka moja unayoimiliki ili upokee msimbo wa kuhakiki akaunti yako mpya ya mtumiaji iliyoundwa kama hii:
Hata hivyo inaonekana kama unaweza kutumia barua pepe hiyo hiyo na nambari ya simu, unapohitaji kuthibitisha mtumiaji aliyeundwa Cognito italamika kuhusu kutumia taarifa hiyo hiyo na haitakuruhusu kuthibitisha akaunti.
Kuinua Mamlaka / Kusasisha Sifa
Kwa default mtumiaji anaweza kubadilisha thamani ya sifa zake kwa kitu kama:
Custom attribute privesc
Unaweza kupata attributes za kawaida zinatumika (kama isAdmin), kwani kwa kawaida unaweza kubadilisha thamani za attributes zako unaweza kuwa na uwezo wa kuongeza mamlaka kwa kubadilisha thamani mwenyewe!
Email/username modification privesc
Unaweza kutumia hii kubadilisha barua pepe na nambari ya simu ya mtumiaji, lakini kisha, hata kama akaunti inabaki kuwa imethibitishwa, attributes hizo zimewekwa katika hali ya kuthibitishwa (unahitaji kuzithibitisha tena).
Hutaweza kuingia kwa kutumia barua pepe au nambari ya simu hadi uzithibitisha, lakini utaweza kuingia kwa kutumia jina la mtumiaji.
Kumbuka kwamba hata kama barua pepe ilibadilishwa na haijathibitishwa itaonekana katika Token ya ID ndani ya email field na uwanja email_verified utakuwa false, lakini ikiwa programu haiangalii hiyo unaweza kujifanya kuwa watumiaji wengine.
Zaidi ya hayo, kumbuka kwamba unaweza kuweka chochote ndani ya name field kwa kubadilisha name attribute. Ikiwa programu inakagua hiyo field kwa sababu fulani badala ya email (au attribute nyingine yoyote) unaweza kuwa na uwezo wa kujifanya kuwa watumiaji wengine.
Hata hivyo, ikiwa kwa sababu fulani umebadilisha barua pepe yako kwa mfano kuwa mpya unayoweza kufikia unaweza kuthibitisha barua pepe na msimbo ulipokea katika anwani hiyo ya barua pepe:
Tumia phone_number badala ya email kubadilisha/thibitisha nambari mpya ya simu.
Msimamizi pia anaweza kuwezesha chaguo la kuingia kwa jina la mtumiaji linalopendekezwa na mtumiaji. Kumbuka kwamba huwezi kubadilisha thamani hii kuwa jina lolote la mtumiaji au preferred_username ambalo tayari linatumika kuiga mtumiaji tofauti.
Rejesha/Badilisha Nenosiri
Inawezekana kurejesha nenosiri kwa kujua jina la mtumiaji (au email au simu inakubaliwa) na kuwa na ufikiaji wake kwani nambari itatumwa huko:
Majibu ya seva daima yatakuwa chanya, kama vile jina la mtumiaji lilipo. Huwezi kutumia njia hii kuhesabu watumiaji.
Kwa kutumia msimbo unaweza kubadilisha nenosiri kwa:
Ili kubadilisha nenosiri unahitaji kujua nenosiri la awali:
Authentication
Mkusanyiko wa watumiaji unasaidia njia tofauti za kuthibitisha kwake. Ikiwa una jina la mtumiaji na nenosiri kuna pia mbinu tofauti zinazosaidiwa kuingia. Zaidi ya hayo, wakati mtumiaji anathibitishwa katika Mkusanyiko aina 3 za tokeni hutolewa: ID Token, Access token na Refresh token.
ID Token: Inabeba madai kuhusu utambulisho wa mtumiaji aliyethibitishwa, kama vile
jina,barua pepe, nanambari ya simu. ID token inaweza pia kutumika kuhifadhi watumiaji kwenye seva zako za rasilimali au programu za seva. Lazima uthibitishe sahihi ya ID token kabla ya kuweza kuamini madai yoyote ndani ya ID token ikiwa unaitumia katika programu za nje.ID Token ndiyo token ambayo ina thamani za sifa za mtumiaji, hata zile za kawaida.
Access Token: Inabeba madai kuhusu mtumiaji aliyethibitishwa, orodha ya makundi ya mtumiaji, na orodha ya mipaka. Lengo la access token ni kuidhinisha operesheni za API katika muktadha wa mtumiaji katika mkusanyiko wa watumiaji. Kwa mfano, unaweza kutumia access token kumpatia mtumiaji wako ufikiaji wa kuongeza, kubadilisha, au kufuta sifa za mtumiaji.
Refresh Token: Kwa kutumia refresh tokens unaweza kupata ID Tokens na Access Tokens mpya kwa mtumiaji hadi refresh token iwe batili. Kwa kawaida, refresh token inaisha siku 30 baada ya mtumiaji wa programu yako kuingia kwenye mkusanyiko wako wa watumiaji. Unapounda programu kwa ajili ya mkusanyiko wako wa watumiaji, unaweza kuweka muda wa kumalizika wa refresh token wa programu kuwa thamani yoyote kati ya dakika 60 na miaka 10.
ADMIN_NO_SRP_AUTH & ADMIN_USER_PASSWORD_AUTH
Hii ni mchakato wa uthibitishaji upande wa seva:
Programu ya upande wa seva inaita
AdminInitiateAuthAPI operation (badala yaInitiateAuth). Operesheni hii inahitaji akreditif za AWS zenye ruhusa zinazojumuishacognito-idp:AdminInitiateAuthnacognito-idp:AdminRespondToAuthChallenge. Operesheni inarudisha vigezo vya uthibitishaji vinavyohitajika.Baada ya programu ya upande wa seva kuwa na vigezo vya uthibitishaji, inaita
AdminRespondToAuthChallengeAPI operation. Operesheni yaAdminRespondToAuthChallengeinafanikiwa tu unapotoa akreditif za AWS.
Hii mbinu HAIRUHUSIWI kwa kawaida.
Ili kuingia unahitaji kujua:
kitambulisho cha mkusanyiko wa watumiaji
kitambulisho cha mteja
jina la mtumiaji
nenosiri
siri ya mteja (tu ikiwa programu imewekwa ili kutumia siri)
Ili uweze kuingia kwa kutumia mbinu hii programu hiyo lazima iruhusu kuingia kwa ALLOW_ADMIN_USER_PASSWORD_AUTH.
Zaidi ya hayo, ili kufanya kitendo hiki unahitaji akreditif zenye ruhusa cognito-idp:AdminInitiateAuth na cognito-idp:AdminRespondToAuthChallenge
```python import boto3 import botocore import hmac import hashlib import base64
client_id = "" user_pool_id = "" client_secret = "" username = "" password = ""
boto_client = boto3.client('cognito-idp', region_name='us-east-1')
def get_secret_hash(username, client_id, client_secret): key = bytes(client_secret, 'utf-8') message = bytes(f'{username}{client_id}', 'utf-8') return base64.b64encode(hmac.new(key, message, digestmod=hashlib.sha256).digest()).decode()
If the Client App isn't configured to use a secret
just delete the line setting the SECRET_HASH
def login_user(username_or_alias, password, client_id, client_secret, user_pool_id): try: return boto_client.admin_initiate_auth( UserPoolId=user_pool_id, ClientId=client_id, AuthFlow='ADMIN_USER_PASSWORD_AUTH', AuthParameters={ 'USERNAME': username_or_alias, 'PASSWORD': password, 'SECRET_HASH': get_secret_hash(username_or_alias, client_id, client_secret) } ) except botocore.exceptions.ClientError as e: return e.response
print(login_user(username, password, client_id, client_secret, user_pool_id))
REFRESH_TOKEN_AUTH & REFRESH_TOKEN
Hii mbinu daima itakuwa halali (haiwezi kuzuiliwa) lakini unahitaji kuwa na tokeni halali ya refresha.
Last updated
