Dapr february 2021 security audit report

• 语言: 英语
• 格式: .pdf
• 来源: docs.dapr.io

摘要

The Dapr security audit report from February 2021 details the findings of a penetration test and source code audit conducted by Cure53. The assessment focused on retesting issues identified in June 2020 and evaluating new features added since summer 2020, such as app-api tokens, access control, and secrets storage. High-risk issues from the previous audit were addressed, leaving only lower-severity vulnerabilities. A new high-risk issue related to access control bypass due to URL normalization was discovered and subsequently fixed. The report highlights that Dapr's security has improved significantly, with the project adopting a more secure-by-default approach. However, areas such as URL normalization and token usage across multiple applications still require attention.

AI总结

以下是对《Dapr February 2021 Security Audit Report》的中文总结，突出核心观点和关键信息，逻辑清晰，语言简洁：

---

### 总结

#### 1. **审计概述**
Cure53团队在2021年2月对Dapr进行了为期8天的安全审计，这是对2020年6月第一次审计的后续工作。审计分为三个工作包：
- **WP1**：对Dapr最新版本的源代码进行全面审计，重点关注新功能（如app-api令牌、访问控制列表和环境变量中的秘密存储）。
- **WP2**：对Dapr集成和部署进行渗透测试。
- **WP3**：重新测试2020年6月审计中发现但未解决的问题。

#### 2. **主要发现**
- **高风险漏洞**：
- 新发现了一处高风险漏洞（DAP-02-013），由于缺乏URL规范化，攻击者可能绕过访问控制列表（ACL），调用被禁止的功能。该问题已被修复并验证。

- **之前漏洞的状态**：
- 2020年6月审计中发现的高风险问题已全部修复，但部分低风险问题仍未解决，包括：
- **DAP-01-001**：Dapr侧车仍允许对Docker网络的MDNS探测。
- **DAP-01-007**：Azure SignalR绑定的HTTP参数污染问题未解决。
- **DAP-01-011**：Hashicorp秘密库中的HTTP参数污染问题仍存在。

- **其他问题**：
- Cure53没有发现app-api令牌功能的明显漏洞，但指出如果多个应用共用同一个令牌，可能导致单点风险。
- 访问控制机制存在弱点，但已修复。

#### 3. **整体评价**
- Dapr项目总体表现积极，2020年6月审计中发现的主要问题已解决，仅剩低风险问题。
- Dapr在快速迭代过程中，未发现大量新的安全问题，表明其安全性持续改进。
- Cure53建议Dapr采用“安全出厂”设计（如默认拒绝策略），以进一步提升系统安全性。

#### 4. **感谢与合作**
Cure53对Dapr和Microsoft团队在项目协调和支持方面表示感谢，认为两方的合作高效有序。

---

### 核心观点
- Dapr在安全性上取得了显著进展，所有高风险问题已修复，低风险问题需进一步关注。
- Dapr应考虑采用更安全的默认配置策略，以增强整体安全性。
- Dapr项目在快速发展的同时，安全性表现良好，值得肯定。