Rủi ro cấp quyền sửa đơn quá rộng khi tự động hóa shop đa kênh

“Sửa đơn” không phải một hành động duy nhất. Nó có thể gồm thêm ghi chú, đổi địa chỉ, đổi sản phẩm, đổi số lượng, áp ưu đãi, đổi trạng thái, hủy hoặc tạo yêu cầu hoàn. Khi tất cả nằm trong một quyền chung, hệ thống có thể làm nhiều hơn nhu cầu của tác vụ đang nhận.

Nguyên tắc đặc quyền tối thiểu yêu cầu mỗi người hoặc hệ thống chỉ có quyền cần thiết để hoàn thành việc. OWASP cũng khuyến nghị từ chối mặc định, kiểm quyền ở mọi yêu cầu và rà quyền định kỳ để tránh quyền tăng dần theo thời gian.

Luồng đa kênh thường truyền thay đổi từ một nguồn sang nơi khác. Nếu hệ thống hiểu sai đơn, thao tác sửa có thể được đồng bộ tiếp, kích hoạt thông báo hoặc tạo bước xử lý phía sau. Lỗi ban đầu nhỏ nhưng hậu quả lớn dần vì các bước tin rằng trạng thái trước đã đúng.

Sự kiện cũng có thể được gửi lại khi một lần xử lý chưa nhận phản hồi. AWS khuyến nghị thiết kế để xử lý lại cùng yêu cầu nhưng không tạo tác động lần hai. Với sửa đơn, cần khóa chống trùng và kiểm phiên bản để một bản ghi cũ không ghi đè trạng thái mới.

Tách quyền thành đọc, đề xuất, ghi thay đổi rủi ro thấp và hành động cần duyệt. Sau đó phân tiếp theo trường dữ liệu, trạng thái đơn, kênh, giới hạn thời gian và điều kiện bằng chứng. Một tác vụ chỉ đọc không cần quyền sửa; một tác vụ gắn nhãn không cần quyền hủy.

Ma trận dưới là mẫu kiểm soát quyền, không phải cấu hình sẵn của ATECH hay nền tảng bán hàng nào. Shop phải thay tên hành động theo khả năng thật, chính sách và cách phân quyền của hệ thống đang dùng.

Mỗi quyền nên gắn với một tác vụ cụ thể, không gắn chung với tên AI hoặc tên đội. Phiếu cần trả lời hệ thống được đọc gì, được làm gì, trên đơn nào, khi nào phải dừng, quyền hết hạn lúc nào và ai thu hồi.

NIST AI RMF yêu cầu mô tả phạm vi sử dụng, giới hạn kiến thức, vai trò và cách con người giám sát. Phiếu cấp quyền là cách biến các yêu cầu đó thành câu hỏi vận hành dễ kiểm.

Đầu tiên chạy chỉ đọc để kiểm nhận diện đơn và phân loại ngoại lệ. Tiếp theo cho phép hệ thống chuẩn bị đề xuất nhưng chưa ghi. Sau khi người duyệt so đủ tập thử, chỉ mở một hành động rủi ro thấp trong phạm vi hẹp và có ngày hết hạn.

Mỗi lần mở thêm quyền cần một lý do mới, kết quả thử mới và người duyệt rõ. Không dùng thành công của quyền ghi chú để suy ra hệ thống cũng an toàn khi đổi giá hoặc hủy đơn.

Nhật ký cần cho biết ai hoặc hệ thống nào yêu cầu, đối tượng nào bị tác động, dữ liệu cũ và mới, thời điểm, nguồn căn cứ, luật được áp dụng, người duyệt nếu có và kết quả cuối. Không nên cho cùng quyền sửa đơn được xóa hoặc sửa nhật ký liên quan.

PCI SSC định nghĩa nhật ký kiểm toán là bản ghi theo thời gian đủ để dựng lại và xem xét chuỗi hoạt động từ lúc bắt đầu đến kết quả. Hướng dẫn về AI trong môi trường thanh toán cũng nhấn mạnh quyền tối thiểu, ghi và theo dõi hành động để quy trách nhiệm cho con người.

Lỗi dễ thấy là dùng một tài khoản quản trị cho mọi tác vụ. Lỗi khó thấy hơn là quyền cũ không bị thu hồi khi phạm vi đổi, quyền đọc kéo theo dữ liệu không cần thiết, hoặc quyền trên một kênh rộng hơn quyền cùng tên ở kênh khác.

Cách sửa là từ chối mặc định, dùng tài khoản riêng theo tác vụ, đặt thời hạn, rà quyền hiệu lực thay vì chỉ đọc tên vai trò và kiểm cả đường gọi gián tiếp. Nếu không thể biết chính xác một quyền cho phép làm gì, chưa nên mở quyền đó cho tự động hóa.

Lập tập thử gồm đơn thường, đơn đã khóa, đơn trùng, dữ liệu đến muộn và yêu cầu bị cấm. Kiểm hệ thống từ chối đúng, không tạo tác động khi yêu cầu lặp và ghi đủ nhật ký. Sau đó thử thu hồi quyền để chắc rằng tác vụ dừng thật ở mọi kênh.

Rà định kỳ theo quyền đang có hiệu lực, lần sử dụng gần nhất và thay đổi phạm vi. Thu hồi ngay khi tác vụ kết thúc, người phụ trách đổi, nguồn bị nghi ngờ, nhật ký thiếu hoặc tỷ lệ sửa tay vượt ngưỡng do shop đặt.