Google एज की पूरी तस्वीर
इस महीने फ़्लीट का मुख्य द्वार बदल गया। हमारे द्वारा होस्ट किए गए हर एप्लिकेशन के लिए हर अनुरोध अब किसी एप्लिकेशन सर्वर को छूने से पहले एक ग्लोबल एज — Google के — से होकर आता है। पहले की दो पोस्टों में इसके टुकड़ों का ज़िक्र था (हमारा WAF बेसलाइन, हमारा रीजन चुनना); यह उसकी पूरी तस्वीर है कि अंदर आते समय एक अनुरोध किन-किन चीज़ों से गुज़रता है।
पूरी फ़्लीट के लिए एक मुख्य द्वार
हमारा हर डोमेन Google के ग्लोबल लोड बैलेंसर पर समर्पित पतों पर रिज़ॉल्व होता है, इसलिए विज़िटर निकटतम Google पॉइंट ऑफ़ प्रेज़ेंस से जुड़ता है और वहाँ से Google के अपने नेटवर्क पर सवार होकर आता है। प्रमाणपत्र Google द्वारा जारी और रोटेट किए जाते हैं, स्ट्रिक्ट ट्रांसपोर्ट सिक्योरिटी चालू है, और पूरा एज घोषित कॉन्फ़िगरेशन है — समीक्षित, संस्करणित और पुनरुत्पादन योग्य, प्लेटफ़ॉर्म की बाकी हर चीज़ की तरह।
जिस हमले से बचना सबसे सस्ता है, वह वही है जो आप तक कभी पहुँचता ही नहीं।
पहुँचने से पहले जाँचा हुआ
हर एप्लिकेशन के सामने वही कवच है। एक दर-आधारित प्रतिबंध हर लॉगिन की रक्षा करता है — एक मिनट में पाँच प्रयासों पर उस पते को दस मिनट का टाइम-आउट मिलता है — और एक क्वेरी गार्ड स्पष्ट इंजेक्शन पैटर्न वाले अनुरोधों को एप्लिकेशन तक पहुँचने से पहले गिरा देता है। Google के पूर्व-कॉन्फ़िगर किए गए OWASP नियम-सेट साथ-साथ हर अनुरोध का मूल्यांकन करते हैं, और भुगतान वेबहुक को जानबूझकर पैटर्न-मैचिंग से बाहर रखा गया है: वे इसके बजाय प्रदाता के हस्ताक्षर से प्रमाणित होते हैं, क्योंकि जो नियम असली भुगतान पेलोड और हमले में फ़र्क़ न कर सके, वह आपकी आमदनी तोड़ने वाला नियम है।
हस्ताक्षरित नाम, बंद दरवाज़े
पते खुद अब परिधि का हिस्सा हैं: हमारे पंद्रह डोमेन Google Cloud DNS पर रहते हैं और हर ज़ोन DNSSEC-हस्ताक्षरित है, ताकि कोई रिज़ॉल्वर सत्यापित कर सके कि वह असली ज़ोन से बात कर रहा है, किसी नकली से नहीं। हमारी अपनी संचालन सतहें — फ़्लीट के पैनल, यहाँ तक कि मशीनों पर SSH — केवल सत्यापित Google पहचान के लिए खुलती हैं, खुले इंटरनेट पर किसी पासवर्ड के लिए कभी नहीं। और जो अनाम बचा है, वह ठीक वही है जिसे हमने अनाम घोषित किया: हेल्थ एंडपॉइंट और भुगतान वेबहुक, फ़्लीट रजिस्ट्री में सूचीबद्ध, और कुछ नहीं।
