No sensitive information in URIs

[fterpstra]

Zijn er geen bestaande standaarden/ best practices die aangeven dat je geen gevoelige informatie moet loggen. Dit zou het omgaan met gevoelige informatie in URIs helderder kunnen uitleggen

[fterpstra]

Martin Borgman zoekt dit uit

[robert-lukassen]

In https://docs.geostandaarden.nl/api/API-Strategie-ext/ paragraaf 3.2 wordt gesteld:

"Even when using TLS-based secured connections information in URIs is not secured. URIs can be cached and logged outside of the servers controlled by clients and servers. Any information contained in them should therfor be considered readable by anyone with access to the netwerk being used (in case of the internet the whole world) and MUST NOT contain any sensitive information."

Waar is het dikgedrukte gedeelte op gebaseerd? Na het tot stand komen van een TLS verbinding is de tussen client en server uitgewisselde data versleuteld, waarbij de TLS handshake moet garanderen dat alleen die client en server het sleutelmateriaal kennen. URIs can be cached and logged outside of the servers controlled by clients and servers." is bij juist gebruik van TLS voor zover ik weet niet waar.

In deze paragraaf wordt volgens mij onterecht de indruk gewekt dat informatie welke via TLS wordt uitgewisseld tussen twee hosts kan worden ingezien door tussenliggende hosts welke alleen betrokken zijn op basis van primaire routering van netwerk verkeer.

Het is zo dat zowel aan de client als de server kan er een mogelijk risico bestaat dat gegevens die als gevoelig kunnen worden beschouwd worden gelogd. Vaak betreft dit dan de volledige URL van een query, maar niet een eventuele request/response body. Het opnemen van gevoelige informatie als query parameter (in HTTP achtige interfaces) kan om die reden worden aangemerkt als een risico. Merk wel op dat dit alleen kan omdat beide partijen hier versleutelde informatie kan ontcijferen omdat ze - geheel volgens de bedoeling van TLS - in het bezit zijn van het benodigde cryptografische sleutel materiaal.

De gebruikte bewoording in paragraaf 3.2 lijkt echter te zeggen dat dergelijke gevoelige informatie zou kunnen 'lekken' op enige host die betrokken is bij de routering van het TLS netwerk verkeer als deze is opgenomen in een URI, maar niet als deze zou zijn opgenomen in een request/response body. Dat lijkt me niet juist.

Mogelijk is de intentie van deze paragraaf om te wijzen op de onbewuste en geautomatiseerde logging van informatie bij de client en server zelf. Vooral bij het gebruik van HTTP over TLS loopt gevoelige informatie welke opgenomen is in de URL (b.v. query parameters van een HTTP GET) dit risico. Dát kan een reden zijn om dergelijke informatie liever op te nemen buiten de URL (b.v. een request body van een HTTP POST).

[fterpstra]

Hoi Robert,
Het document waar je naar refereert kent al een aantal opvolgers maar dat is het het document zelf niet duidelijk. Daar moeten we misschien wat aandoen.
Inmiddels hebben we de laatste werkgroep naar dit tekst voorstel over dit onderwerp gekeken (en goed bevonden) https://github.com/Logius-standaarden/API-Design-Rules/pull/277/changes (even naar beneden scrollen voor de aanpassing).
Groeten
Frank