Открытые пароли и токены в УТ 11.5: 21 находка скриптом и перенос в хранилище на «Нано-УТ»

В типовой конфигурации никто не скажет, сколько мест хранит пароль или токен открытой строкой: ни реквизиты, ни константы, ни код не помечены. Я написала скрипт secret_scan.py, который ищет такие места в выгрузке конфигурации, и прогнала его на выгрузке УТ 11.5.22.77 (12 290 модулей). Каждую находку разобрала по коду и формам. Затем заложила двенадцать открытых секретов пяти видов в «Нано-УТ 2.0», перенесла их в безопасное хранилище и проверила результат на платформе 8.3.27.

Стенд и порядок работы

Выводы относятся к одной версии УТ и к одной небольшой учебной конфигурации. Файловый режим базы не позволяет судить о клиент-серверном варианте, где данные лежат в СУБД.

Что ищет инструмент

Инструмент читает выгрузку «в файлы» и разбирает четыре слоя. В отчёте, в JSON и в файле --out маскируются все строковые литералы во фрагментах кода (S********1), вместе с найденным значением: рядом с секретом могут стоять другие. Полностью их выводит ключ --show-values, его включают только на учебных данных. Ключевые слова, методы и конструкторы распознаются в любом регистре, но разбор остаётся эвристикой и полным разбором BSL не является.

Коды возврата: 0 означает полную проверку без находок, 1 означает находки в слоях МД, НАС или КОД при ключе --fail, 2 означает неполную проверку или непригодный вход (битый XML, нечитаемый файл, ошибка разбора модуля, каталог без объектов и модулей). Причины печатаются строкой «ПРОВЕРКА НЕПОЛНА» в конце отчёта; «0 находок» рядом с ней успехом не считается. Так проверку можно поставить в сборочный конвейер.

Чего скрипт не делает: не выполняет код, не считает вызов записи в хранилище с переменной вместо литерала находкой (источник значения проверяют отдельно), не видит пароль, составленный из частей или полученный из функции, не разбирает расширения, формат EDT, реквизиты форм и параметры сеанса, не оценивает права на регистр хранилища. Имя вроде Код2 с паролем внутри он тоже не найдёт.

Прогон на УТ 11.5: от 31 находки к 21

Первый прогон выдал 31 находку (14 полей и 17 литералов). Я открыла каждое место и записала причину, по которой оно не секрет или секрет. Десять оказались не секретами, под каждый случай появилось правило.

Двенадцать убранных мест:

Первый прогон по стенду показал и обратную ошибку. В код заложено шесть секретов, первая версия нашла четыре (пароль литералом, пароль в конструкторе, заголовок Bearer, закрытый ключ) и пропустила пароль в строке соединения и ключ AWS. В первом случае регулярное выражение не допускало кавычку после Pwd=, во втором быстрый отсев пропускал короткие литералы. Оба правила исправлены. Три записи об одном заголовке Authorization (JWT, Bearer и сам заголовок) теперь сливаются в одну.

21 находка в УТ 11.5

Число 21 состоит из 13 полей-кандидатов и 8 вхождений литералов, классифицированных мной вручную. Оно не равно ни количеству различных значений, ни количеству действующих учётных данных: восемь литералов дают шесть разных значений, а заполнено ли каждое из тринадцати полей, видно только по базе.

Рисунок 1. Окончательный прогон версией 1.1 по выгрузке УТ 11.5.22.77: 13 полей-кандидатов и 8 вхождений литералов, 8 устаревших полей отдельно.

Тринадцать полей-кандидатов

Для каждого поля я открыла место записи, которое показал отчёт (файл:строка), и форму, если запись идёт через форму.

Токены со сроком действия (МПЭПД, ЭПД) пишутся ответом сервиса, остальные вводят руками на форме. Поле ПарольАльтернативнойИнтеграции в конфигурации читают запросом, а записей в коде и привязок в формах у него нет. По выгрузке видно, что поле может хранить пароль открыто; есть ли в нём значение, показывает только база заказчика.

Восемь вхождений литералов

В таблице значения замаскированы так же, как в отчёте.

Литерал в РаботаСКонтрагентами повторён в строках 2880, 2953 и 2999. При смене значения правят каждую строку, а поиск в одном модуле найдёт одну: поэтому список по всей выгрузке удобнее ручного просмотра.

Отдельно инструмент считает поля с префиксом «Удалить»: их 8. Это Справочник.УдалитьПрофилиНастроекЭДО.Пароль, Справочник.УдалитьСертификатыЭП.ПарольПользователя, Справочник.УдалитьСоглашенияОбИспользованииЭД.УдалитьПароль, ПланОбмена.ОбменССайтом.УдалитьПароль, РегистрСведений.НастройкиТранспортаОбменаОбластейДанных.УдалитьFTPСоединениеПароль и три поля регистра УдалитьНастройкиТранспортаОбмена. Поля переходные, в итог они не вошли.

Безопасное хранилище БСП: что это такое

В ОбщегоНазначения УТ процедура ЗаписатьДанныеВБезопасноеХранилище складывает данные в регистр сведений БезопасноеХранилищеДанных. Ключевые строки процедуры (ОбщегоНазначения/Ext/Module.bsl:6067):

1
2
3

ДанныеДляХранилищеЗначения = Новый ХранилищеЗначения(ДанныеДляСохранения, Новый СжатиеДанных(9));
БезопасноеХранилищеДанных.Данные = ДанныеДляХранилищеЗначения;
БезопасноеХранилищеДанных.Записать();

Значение лежит в регистре как ХранилищеЗначения со сжатием 9, и шифрования здесь нет. Защита опирается на права: комментарий к процедуре сообщает, что хранилище недоступно для чтения пользователям, кроме администраторов, а вызывающий код сам включает привилегированный режим. Скрипт ut_register_rights.py из файла-компаньона прошёл по ролям выгрузки: из 1086 ролей права на БезопасноеХранилищеДанных (Чтение, Изменение и служебные) даёт одна, АдминистраторСистемы; на регистр БезопасноеХранилищеДанныхОбластейДанных права не даёт ни одна.

Слой БХ показал, как активно хранилище используется: 114 объектов конфигурации, 358 обращений (запись 140, чтение 153, удаление 47, регистр 18). Среди них Catalogs/УчетныеЗаписиЭлектроннойПочты (запись 8, чтение 5, удаление 2) и Catalogs/НастройкиТранспортаСообщенийОбмена (запись 7, чтение 2, удаление 2). У тринадцати найденных полей в модулях самих объектов обращений к хранилищу нет.

Стенд «Нано-УТ»: пять видов открытых секретов

В «Нано-УТ 2.0» нет БСП. Я заложила секреты пяти видов, синтетические значения придуманы для опыта и ни к чему не подключаются.

Рядом лежат поля и строки, которые похожи на секрет, но секретом не считаются: ПарольЗадан (булево), ПодсказкаПароля, АдресСбросаПароля, а в коде Если Параметры.Пароль = "", Пароль = "", Сообщение = "Пароль не указан", НСтр("ru = 'Введите пароль шлюза'"). Скрипт эти места не показал.

Рисунок 2. Прогон по варианту seeded: 12 находок (МД 5, НАС 1, КОД 6). Контроль платформы: загрузка и /CheckModules у варианта прошли без ошибок.

Фрагмент модуля до переноса (значения секретов заменены на <значение>):

1
2
3
4

Пароль = "<значение>";
Возврат Новый HTTPСоединение(Параметры.Адрес, Параметры.Порт, Параметры.Логин, "<значение>", , 20);
Заголовки.Вставить("Authorization", "Bearer <значение>");
Возврат "File=""C:\Bases\demo"";Usr=""Админ"";Pwd=""<значение>"";";

Перенос в безопасное хранилище и проверка на платформе

В варианте migration добавлены регистр БезопасноеХранилищеДанных (владелец: строка 128, данные: ХранилищеЗначения), учебный образец модуля ОбщегоНазначения с теми же сигнатурами, что в БСП (это не БСП), и модуль МиграцияСекретов. Его процедура читает значение, пишет в хранилище и очищает поле:

1
2
3
4
5

ЗначениеТокена = Константы.ТокенДоступаSMS.Получить();
Если ЗначениеЗаполнено(ЗначениеТокена) Тогда
	ОбщегоНазначения.ЗаписатьДанныеВБезопасноеХранилище("ИнтеграцияSMS", ЗначениеТокена, "ТокенДоступа");
	Константы.ТокенДоступаSMS.Установить("");
КонецЕсли;

Имя процедуры переноса ВыполнитьПеренос: слово Выполнить зарезервировано, и первая версия с таким именем не прошла контроль модулей («Ожидается имя функции», код 101; журнал evidence/platform-reserved-name.txt).

Порядок опыта на платформе: подготовить синтетические данные, прочитать поля, найти значения в файле базы 1Cv8.1CD (поиск байтов в UTF-16LE и UTF-8), выполнить перенос, снова прочитать поля, прочитать из хранилища, снова найти значения в файле.

Рисунок 3. Перенос секретов на платформе 8.3.27.2130: 3 группы данных, значения в файле базы до переноса и после.

Запуск 25.10 и повторный запуск 26.10 (теперь platform_check.py сверяет результаты каждого шага и возвращает код 0 только при выполнении всех восьми проверок) дали одинаковые числа. Это наблюдение о прямых последовательностях байтов в двух кодировках: значение продолжает читаться из хранилища, а опыт не доказывает ни уничтожения данных, ни шифрования. Регистр хранит данные как ХранилищеЗначения (так показал запрос к регистру), и после переноса поля пусты. Поиск по файлу выполнен на одной базе размером 8 699 904 байта; в рабочей базе, в её копиях и в журналах СУБД прежние значения могут сохраниться, поэтому после переноса секреты меняют у поставщика.

Вариант fixed (поля удалены, код читает хранилище) скрипт проходит с нулём находок, а слой БХ показывает 9 обращений (запись 2, чтение 4, регистр 3).

Что платформа 8.3.27 даёт для секретов

Платформа не определяет часть вызовов, которые часто встречаются в чужих примерах. Я загрузила модуль с такими вызовами и посмотрела ответ /CheckModules, затем выполнила допустимые вызовы через COM.

Из этого следует порядок. Хеш доступен сразу. HMAC собирается вручную на ХешированиеДанных, БуферДвоичныхДанных и ПобитовоеИсключительноеИЛИ; проверка подписи вебхука таким способом идёт без внешних компонентов. Шифрование со строкой-паролем через МенеджерКриптографии не получилось, и сценарий с сертификатом в проверку не вошёл.

Рисунок 4. Образцы из файла-компаньона на платформе: SHA-256, HMAC-SHA256, хеш пароля с солью, хранилище.

HMAC-SHA256 на платформе совпал с эталоном для трёх сочетаний ключа и сообщения: два вектора RFC 4231 (Hi There с ключом из 20 байт 0x0b и what do ya want for nothing? с ключом Jefe) и ключ в 100 байт, длиннее блока (хешируется предварительно). Сравнение выполнено с hmac из стандартной библиотеки Python; значения совпадают побуквенно.

Хеш пароля с солью и повторным хешированием (формат sha256i$итерации$соль$хеш) на платформе занял 17 мс при 1000 повторов, 142 мс при 10 000 и 1458 мс при 100 000 (одно измерение 26.10 на машине стенда; 25.10 получилось 14, 257 и 2183 мс: замеры зависят от загрузки машины). Сравнение хеша в образце не выходит из цикла по первому несовпавшему символу при равных длинах; это свойство кода, замеров времени отклика я не делала и гарантий постоянного времени не заявляю. Это самодельная схема, её стойкость я не оценивала; повторы замедляют перебор и не заменяют специализированный алгоритм. Хеш пароля нужен, когда значение потом только сравнивают, как пароль портала, который клиент вводит сам. Секрет, который конфигурация отправляет во внешний сервис, хешем заменить нельзя: сервису нужно исходное значение.

Файлы к статье

К статье приложены два архива.

Инструмент secrets-26-1-tool.zip содержит secret_scan.py, 57 тестов, три варианта стенда (stand/seeded, stand/migration, stand/fixed) и скрипт их сборки make_stand.py. Запуск из корня распакованного архива:

1
2
3

python secret_scan.py stand/seeded/src --brief
python secret_scan.py stand/fixed/src --fail
python -m unittest discover -s tests -v

Компаньон secrets-26-1-companion.zip содержит чек-лист, заполненный журнал разбора (21 находка УТ, 12 ложных срабатываний, 12 находок стенда), образцы модулей (учебный образец хранилища с сигнатурами БСП, перенос, хеширование и HMAC), platform_check.py и platform_probe.py для опыта на платформе, ci/check_secrets.cmd для конвейера, журналы запусков и 38 тестов. Тесты компаньона работают без платформы: они сверяют значения платформы из журналов с hashlib и hmac и проверяют отказы platform_check.py на подменах (непустой каталог не удаляется, сбой любой стадии даёт ненулевой код).

Рисунок 5. Тесты обоих архивов из чистой распаковки: 57 у инструмента, 38 у компаньона (один тест запускает платформу и по умолчанию пропущен).

Итог

Выгрузка УТ 11.5.22.77 даёт список мест хранения секретов за один прогон: 21 находка (13 полей-кандидатов и 8 вхождений литералов), восемь устаревших полей отдельно. Первая версия скрипта завышала счёт на десять строк, и каждая такая строка закрыта правилом после проверки по тексту модуля. Стенд показал и обратную ошибку: два секрета в коде первая версия пропускала.

Токены сервисов в УТ попадают в поля двумя способами: ответом сервиса и вводом на форме. Перенос в безопасное хранилище на «Нано-УТ» очистил поля, а прямых последовательностей байтов значений в файле базы после него не найдено. Хранилище БСП защищает правами и шифрования не даёт, образец стенда права не проверяет, поэтому проверка ролей на регистр входит в закрытие задачи, а секреты, лежавшие открыто, меняют у поставщика.

Выводы относятся к одной версии УТ, учебному стенду, файловому режиму базы и платформе 8.3.27.2130. Шифрование через МенеджерКриптографии, клиент-серверный вариант, другие типовые конфигурации и расширения в проверку не вошли.

 

Нинель Адольевна Щербакова (Ninel_S)

Архитектор • SRE & DevOps инженер • HighLoad 1С

Автор технических публикаций на Infostart. Разработчик NOPik, SRE-Suite-for-1C и мультиагентных ассистентов для экосистемы 1С:Предприятие.

Каталог статей и открытых репозиториев Ninel_S