GCP Cloud Storage 签名网址 - 绑定到对象还是只是计算出来的？

Question

GCS 签名 URL 使您能够简单地通过签名 URL 将对象暂时公开。 https://cloud.google.com/storage/docs/access-control/signed-urls

据我了解，您需要根据多个参数计算签名，然后无需任何其他安全层即可访问该对象。

不幸的是，文档并不完全清楚，如果一个对象被 GCS 服务显式激活，并获得一个标志“签名 XYZ 在对象 ABC 上 XX 分钟内有效”，或者 GCS 是否始终为所有文件提供服务，只要签名正确。

如果任何对象都可以通过正确的签名来使用，那么如果签名被猜对（暴力）， GCS 中的所有文件实际上都是可访问的 public 。

这是正确的吗？

是否有任何有关保护 url 签名的安全级别的信息？

有没有办法禁用 url 签名？

VPC 服务边界是否适用于签名 URL？

由于合规性评估，我需要找出一些要点，它们更多是理论问题，而不是我对此服务的一些具体安全疑虑。

感谢您的意见。

Answer 1

不幸的是，文档并不完全清楚，如果一个对象被 GCS 服务显式激活，并获得一个标志“签名 XYZ 在对象 ABC 上 XX 分钟内有效”，或者 GCS 是否始终为所有文件提供服务，只要签名正确。

签名 URL 包含时间戳，超过该时间戳后签名 URL 将不再有效。时间戳是签名签名的一部分，这意味着在不使签名无效的情况下无法更改它。签名本身完全在客户端生成，服务器状态没有变化。

如果任何对象都可以通过正确的签名来使用，那么如果签名被猜对（暴力破解），GCS 中的所有文件实际上都可以公开访问。这是正确的吗？

是的，这是真的。任何知道允许读取文件的服务帐户名称、存储桶名称和对象名称，并且正确猜测 2256 个可能的哈希值中哪一个是正确的人^确实可以查看您的文件。请注意，2 ²⁵⁶是一个相当大的数字。如果攻击者可以每纳秒进行一万亿次猜测，我们预计他们平均会在大约 3.6x10 ⁴⁴年内发现正确的哈希值，这大约是宇宙年龄的2.7x10 ^34倍。

是否有任何有关保护 url 签名的安全级别的信息？

当然。GCS 使用 GCS 使用与 S3 的“AWS 签名版本 4”相同的通用签名 URL 模式。确切的签名过程在这两个服务的网站上都有描述。签名本身是 HMAC SHA-256，它是 SHA-2 哈希的一种，是一种经过充分研究的算法，其优点和缺点得到了广泛讨论。https://en.wikipedia.org/wiki/SHA-2。

有没有办法禁用 url 签名？

VPC服务控制是最简单的方式。它们可以阻止项目外部的任何用户访问数据，无论凭据如何。

VPC 服务边界是否适用于签名 URL？

是的，签名 URL 只能在配置的安全范围内工作。