O documento discute boas práticas e estratégias para implementar segurança em microserviços, incluindo o uso de OAuth2, JWT e OpenID Connect para autenticação e autorização. Também recomenda criar um API gateway, limitar tráfego de entrada, aplicar segurança no nível do container e monitoramento para proteger os microserviços.

1. Protegendo Microservices
Boas Práticas e Estratégias de Implementação
Rodrigo Cândido da Silva
@rcandidosilva

2. Agenda
• Microservices
• Requisitos de Segurança
• OAuth2, JWT, OpenID Connect
• Boas Práticas

3. Monolithic vs.Microservices

4. Como implementar segurança neste contexto?

5. RESTAPIs são vulneráveis
• RESTful não define procedimentos de segurança
• São igualmente vulneráveis como as aplicações web tradicionais
• Principais vulnerabilidades de segurança
- Injection attacks
- Replay attacks
- Cross-site scripting
- Denial of Service (DoS)
- Man-in-the-middle

6. Autenticação & Autorização

7. OAuth2
• Protocolo de segurança aberto e padronizado
• Habilita o controle de acesso à aplicações sem
compartilhamento de credenciais
• Evita problemas com password
• Ideal para delegação de acesso
- Aplicações externas
- Pode ser seletivamente revogado
- Recursos específicos por um tempo determinado

8. OAuth2 overview

9. OAuth2 token
• Access Token
- Short-lived token
• Refresh Token
- Long-lived token
• Bearer token
- Hash random token
- Apenas define o conceito de secret (sem identidade de usuário)
{
"access_token": "2YotnFZFEjr1zCsicMWpAA",
"token_type": "bearer",
"expires_in": 3600,
"scope": "read write",
"refresh_token": "tGzv3JOkF0XG5Qx2TlKWIA"
}

10. Qual o problema utilizando apenas OAuth2?
Não utiliza stateless token model (necessita delegar validação)

11. Como OAuth2 + JWT irão trabalhar em conjunto?
Stateless token model (validação embutida em cada microservice)

12. JSON Web Tokens
“Modelo compacto e auto-contido para transmissão
segura de informação no formato JSON”

13. JSON Web Tokens
OAuth2 + JWT (Substitui o bearer token definido pelo OAuth2)
{
"access_token":
"eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJleHAiOjE0OTMyODMxNzksInVzZXJfbmFtZSI6InVzZXIiLCJhdX
Rob3JpdGllcyI6WyJVU0VSIiwiTUFOQUdFUiJdLCJqdGkiOiJkMGY5OTY2OC01NzdkLTRkZTEtODkwYi1hNDY1MTBkZj
g2YjAiLCJjbGllbnRfaWQiOiJjbGllbnQiLCJzY29wZSI6WyJvcGVuaWQiXX0.iH1pnwJZPZi05hdpY9MDGIvtx34Dj8
lxc5fdU5c5NCCtUblT_L9kdZO6NaOIIZffbGzSHoyVUEZkSwkGXm6lT1jRTcOHq2khAZlwmO3hN3c1xb8bumAgmpF8fJ
SIKTVIkFJpbVO4uDfHSSbBm6QsTbqHkNgNwWSWbNG1n6ZlsHCcZCh37cmgbh-
B4tPD9QEfH3CSI6Z7AgUbS9UCIytjm02sgxgAr3liOcykRrdcOvxgIBx_yGDvornQ5JOBVdW-TS0-
uJmHe6sHCFYeBNchJhRi7xqZCMYFD6IcP4dftPupzg3IMl5oWberxhZTCCLoi18JtQyZgIgqmSlOAIq8wg",
"token_type": "bearer",
"expires_in": 43199,
"scope": "read write",
"jti": "d0f99668-577d-4de1-890b-a46510df86b0",
"refresh_token": "tGzv3JOkF0XG5Qx2TlKWIA"
}

14. OpenID Connect
• Camada de identidade no topo do protocolo OAuth2
• ID tokens são JWT tokens
• REST-based
• Fornece core endpoints
- Authorization
- Token, UserInfo
(Identity, Authentication) + OAuth2 = OpenID Connect

15. Visão geral

16. Boas Práticas

17. Crie um API gateway
“Aplica o princípio da defesa por profundidade”

18. Apenas exponha o gateway na DMZ (over TLS)
“Criptografia dos dados em transito”

19. Garanta privacidade dos dados
“Dados sensíveis devem ser encriptados o mais cedo possível”

20. Limite o trafego de entrada das requisições
“Previne ataques DoS”

21. Implemente proteção CSRF e CORS
“Todas requisições externas devem ser verificadas”

22. Aplique segurança no nível do container
“Atinge o conceito de menor privilégio possível"

23. Monitore tudo que seja possível
“Detecta e previne ataques”

24. https://goo.gl/FqbJhP

25. Perguntas
?

26. Obrigado!
@rcandidosilva