Vercel muốn loại bỏ thông tin xác thực tĩnh tồn tại lâu dài khỏi hệ sinh thái. Tuy nhiên, quy trình triển khai bằng GitHub Actions của công ty vẫn cần VERCEL_TOKEN. Vì vậy, lập trình viên vẫn phải lưu thông tin xác thực dài hạn. Đây chính là loại thông tin mà Vercel yêu cầu các nhà cung cấp khác thay thế bằng OIDC và token ngắn hạn.
Theo The New Stack về thông tin xác thực tĩnh của Vercel, hạn chót dành cho các nhà cung cấp trên kho tích hợp là tháng 1 năm 2027. Những bên không tuân thủ có nguy cơ bị gỡ khỏi kho. Chính sách xuất hiện khi các cuộc tấn công chuỗi cung ứng tiếp tục nhắm vào bí mật trong quy trình tích hợp và triển khai liên tục.
Nội dung chính: Vercel thúc đẩy thông tin xác thực ngắn hạn
Vercel muốn các nhà cung cấp thay khóa tĩnh bằng OIDC và token ngắn hạn gắn với danh tính. Token loại này chỉ có hiệu lực trong thời gian giới hạn, nhờ đó thu hẹp khoảng thời gian kẻ tấn công có thể sử dụng quyền truy cập nếu thông tin xác thực bị đánh cắp.
Trong thông báo về việc chấm dứt thông tin xác thực dài hạn, giám đốc công nghệ Malte Ubl dùng tiêu đề Death to long-lived static credentials
. Ông cho biết Vercel đã khảo sát hơn 1.000 nhà cung cấp phần mềm dạng dịch vụ. Chỉ 8,4% trong số đó hỗ trợ những phương thức xác thực mà công ty xem là an toàn.
Giải pháp Vercel đề xuất là OpenID Connect, thường được viết tắt là OIDC, kết hợp với token ngắn hạn gắn với danh tính. Khác với khóa giao diện lập trình ứng dụng có thể giữ nguyên hiệu lực vô thời hạn, token ngắn hạn hết hiệu lực sau một khoảng thời gian giới hạn.
Giám đốc điều hành Guillermo Rauch ví thông tin xác thực bị đánh cắp với những chiếc khóa có khả năng tự hủy. Theo lập luận của ông, token hết hạn nhanh không ngăn được mọi cuộc xâm nhập, nhưng làm giảm thời gian kẻ tấn công có thể tiếp tục sử dụng quyền truy cập bị đánh cắp.
Mâu thuẫn trong quy trình triển khai của Vercel
Tài liệu của Vercel vẫn yêu cầu VERCEL_TOKEN khi triển khai bằng GitHub Actions. Yêu cầu này tạo ra khoảng cách giữa tiêu chuẩn Vercel áp dụng cho các đối tác và cơ chế xác thực hiện có trong chính quy trình triển khai của công ty.
Yordis Prieto là kỹ sư phần mềm cấp cao tại Fanatics. Ông chỉ ra rằng Vercel thúc đẩy liên kết danh tính bằng OIDC nhưng vẫn buộc ông dùng token truy cập dài hạn trong quy trình tích hợp liên tục. Prieto đề nghị công ty bỏ yêu cầu token khỏi hoạt động triển khai qua GitHub. Ông cũng phê bình việc sử dụng token không hết hạn.
Hướng dẫn triển khai bằng GitHub Actions của Vercel yêu cầu lập trình viên lưu VERCEL_TOKEN dưới dạng bí mật để xác thực. Malte Ubl cho biết Vercel đang mở rộng OIDC trên giao diện lập trình ứng dụng và công cụ dòng lệnh. Mục tiêu là loại bỏ token dài hạn khỏi các quy trình triển khai. OIDC hiện chưa bao phủ đầy đủ công cụ của công ty.
Theo thông báo của Vercel, từ ngày 30 tháng 11, các tích hợp không đáp ứng yêu cầu xác thực sẽ nhận nhãn cảnh báo mang nghĩa không an toàn. Nhãn này xuất hiện trên trang giới thiệu của tích hợp. Công ty chưa công bố phương pháp khảo sát hoặc danh sách doanh nghiệp tham gia. Số đối tác hiện phải thay đổi hệ thống xác thực cũng chưa được công bố.
Token ngắn hạn dành cho tác tử trí tuệ nhân tạo
Token ngắn hạn giới hạn thời gian tác tử trí tuệ nhân tạo có thể sử dụng một quyền truy cập bị lộ. Cơ chế cấp quyền đúng lúc cũng giảm nhu cầu đặt bí mật tồn tại lâu dài trong môi trường mà tác tử hoặc ứng dụng có thể đọc.
Rủi ro khi tác tử truy cập dịch vụ bên ngoài
Tác tử trí tuệ nhân tạo ngày càng được cấp quyền truy cập nhiều dịch vụ bên ngoài. Vì vậy, cách lưu và cấp thông tin xác thực trở thành một phần của hệ thống vận hành tác tử. Khóa truy cập dài hạn có thể tiếp tục mở đường vào dịch vụ sau khi bị lộ. Thông tin xác thực cấp đúng lúc sẽ tự hết hạn.
Cơ chế cấp quyền đúng lúc là một lựa chọn trong bài toán quản lý thông tin xác thực cho tác tử trí tuệ nhân tạo, vì thông tin xác thực hết hạn sẽ giảm thời gian một quyền truy cập bị lộ còn hiệu lực.
Connect cấp thông tin xác thực khi chạy
Dịch vụ Connect của Vercel cho phép ứng dụng và tác tử yêu cầu thông tin xác thực có phạm vi giới hạn tại thời điểm chạy. Yêu cầu này dựa trên danh tính triển khai. Connect xử lý việc trao đổi và làm mới token. Ứng dụng không phải tự lưu bí mật trong môi trường hoạt động.
Theo bản cập nhật ngày 15 tháng 10 của Vercel, Connect đã bổ sung cơ chế cấp quyền do doanh nghiệp quản lý. Tính năng này đang ở trạng thái thử nghiệm công khai. Quản trị viên có thể kiểm soát quyền truy cập vào các dịch vụ được hỗ trợ qua nhà cung cấp danh tính như Okta.
Cách phân quyền này liên quan trực tiếp đến câu hỏi tác tử trí tuệ nhân tạo nên được cấp bao nhiêu quyền. Token ngắn hạn không giải quyết mọi rủi ro, nhưng giới hạn thời gian sử dụng quyền truy cập nếu thông tin xác thực bị lấy cắp.
Connect vẫn chấp nhận khóa tĩnh
Connect chưa loại bỏ hoàn toàn khóa giao diện lập trình ứng dụng tĩnh. Khi một nhà cung cấp chưa hỗ trợ OAuth hoặc phương thức dựa trên danh tính, Connect vẫn có thể lưu khóa tập trung và cung cấp khóa đó lúc ứng dụng chạy, trong khi khóa gốc tiếp tục tồn tại.
Vercel cho biết hãng đã đưa xác thực OIDC của GitHub vào kho lưu trữ bộ chứa vào cuối tháng 9. Thay đổi đó không loại bỏ yêu cầu VERCEL_TOKEN trong quy trình triển khai GitHub Actions được ghi trong tài liệu của công ty.
Vercel phải áp dụng tiêu chuẩn cho chính mình
Vercel đang làm cùng công việc mà hãng yêu cầu các nhà cung cấp trên kho tích hợp thực hiện: thay thông tin xác thực dài hạn trong hạ tầng đang vận hành. Cho đến khi OIDC bao phủ GitHub Actions, lập trình viên vẫn phải dùng loại token mà Vercel muốn hệ sinh thái ngừng sử dụng.
Khoảng cách giữa chính sách và công cụ cho thấy cơ chế xác thực cần được kiểm tra trong quy trình triển khai thực tế. Điều này cũng áp dụng cho việc phân quyền dữ liệu và mô hình trong hệ thống trí tuệ nhân tạo. Chỉ tuyên bố về kiến trúc là chưa đủ để xác định bí mật được lưu và sử dụng như thế nào.
Hãy theo dõi Sine để cập nhật cách các nền tảng lớn thay đổi cơ chế xác thực và tác động của chúng đến quy trình phát triển.
