BTCPay Server sửa lỗi quyền API key, bản 2.4.5 mới nhất chưa có

BTCPay Server đã hợp nhất bản sửa lỗi kiểm tra quyền của API key giới hạn trong một cửa hàng (PR #7684) vào nhánh phát triển ngày 19 tháng 10. Tuy nhiên, tính đến ngày 26, bản phát hành công khai mới nhất là 2.4.5 ra mắt ngày 6 tháng 10, nên chưa bao gồm bản sửa này.

Tiêu đề của PR là ‘thực thi phạm vi quyền của API key’. Trước khi sửa, một key bị giới hạn trong một cửa hàng vẫn có thể vượt qua bước kiểm tra quyền ở cấp máy chủ hoặc cấp tài khoản. Mô tả PR cũng cho biết key bị giới hạn có thể cấp cho key của người dùng khác những quyền rộng hơn phạm vi mà chính nó nắm giữ.

Thay đổi lần này không còn áp dụng cơ chế thay thế phạm vi, vốn chỉ được phép dùng khi kiểm tra quyền cửa hàng, cho các bước kiểm tra quyền máy chủ và tài khoản. Khi tạo key mới, hệ thống cũng kiểm tra quyền được yêu cầu có vượt quá quyền của người gọi hay không. Quyền cấp máy chủ chỉ dùng được khi chủ sở hữu key là quản trị viên, nên không có chuyện mọi quyền cửa hàng tự động mở rộng thành quyền máy chủ.

Các bài kiểm thử được bổ sung trong PR gồm ba tình huống: từ chối key quản trị viên truy cập vai trò máy chủ, từ chối key người dùng thường xóa tài khoản và từ chối tạo key có quyền vượt mức đang nắm giữ. Đây là những mục kiểm chứng bằng mã nguồn xem ranh giới quyền trong hệ thống tích hợp thanh toán Bitcoin(BTC) được giữ đến đâu.

API key là phương thức xác thực để cửa hàng trực tuyến hoặc ứng dụng bên ngoài gọi các chức năng thanh toán của BTCPay Server. Tài liệu xác thực API của dự án cho biết có thể giới hạn riêng quyền thao tác và các cửa hàng được phép dùng của mỗi key, đồng thời khuyến nghị chỉ yêu cầu quyền tối thiểu cần thiết. Bản sửa lần này nhằm bảo đảm hai giới hạn đó được áp dụng nhất quán cả ở bước kiểm tra quyền máy chủ, tài khoản lẫn khi tạo key.

Việc hợp nhất mã nguồn và việc áp dụng bản sửa trên máy chủ vận hành là hai chuyện khác nhau. Bản 2.4.5, hiện được ghi là mới nhất trong danh sách phát hành của dự án tính đến ngày 26, ra mắt sớm hơn ngày hợp nhất PR. Chưa có bản phát hành nào sau đó chứa bản sửa, nên chỉ nhìn danh sách phát hành thì chưa xác định được phiên bản triển khai nào đã bao gồm nó.

Bitcoin Optech cho biết trong bản tin ngày 23 tháng 10 rằng PR #7684 đã sửa lỗi nâng quyền của API key Greenfield. Greenfield API là REST API của BTCPay Server.

Những gì xác nhận được từ PR công khai và tài liệu dự án chỉ dừng ở thay đổi mã nguồn và thiết kế phân quyền. Chưa có trường hợp bị khai thác, số cửa hàng bị ảnh hưởng hay thiệt hại tài chính nào được xác nhận trong các tài liệu công khai.

Các nhà vận hành có thể rà soát quyền và vai trò chủ sở hữu của những key đang dùng trong tích hợp, rồi thu hẹp về đúng phạm vi mà mỗi tích hợp cần. Muốn biết bản sửa đã được áp dụng hay chưa, cần đợi phiên bản kế tiếp xuất hiện trong danh sách phát hành, sau đó đối chiếu mã nguồn của phiên bản đó hoặc bản dựng đang triển khai.

Nhận định thị trường: việc hợp nhất mã và việc phát hành công khai là hai bước riêng. Tính đến ngày 26, phiên bản công khai mới nhất vẫn là 2.4.5, ra mắt trước khi bản sửa được hợp nhất.

Điểm cần lưu ý: nhà vận hành có thể đối chiếu quyền, phạm vi cửa hàng của các key tích hợp với phiên bản đang chạy trên máy chủ.

Giải thích thuật ngữ: API key là phương thức xác thực mà ứng dụng bên ngoài dùng để gọi chức năng của máy chủ. Trên BTCPay Server, có thể giới hạn quyền thao tác và cửa hàng được phép dùng của mỗi key.