アクセストークンを安全に共有する
閲覧後に自己消滅する暗号化リンクで、OAuth、Bearer、セッショントークンを送ろう。
問題
Slack、メール、チケット管理システムに貼り付けられたアクセストークンは、保護されたリソースへの即時アクセスを付与する。パスワードとは異なり、トークンには多要素認証による保護がないことが多く、持っている人なら誰でも直接使用できる。チャット履歴のトークンは、本来ローテーションされるべき時期をはるかに過ぎても持続的な攻撃面を生み出す。
Vaulted のサポート内容
Vaultedはブラウザ上でトークンをAES-256-GCMで暗号化し、設定した閲覧回数に達すると自己消滅するリンクを生成する。暗号化鍵はURLフラグメントの一部であり、サーバーには送信されない。リンクが期限切れになると、Vaultedからトークンを取得することはできなくなる。
手順
- アクセストークンをVaultedに貼り付ける
- ローテーションスケジュールに合わせた閲覧回数制限と有効期限を設定する
- 必要とする人またはシステムに暗号化リンクを共有する
- 相手がトークンをコピーし、リンクは自己消滅する――痕跡は一切残らない