Per configurare HTTPS per proteggere JWT nelle app di Azure Logic, seguire questi passaggi:
1. Assicurarsi che gli endpoint di app logici per l'app logica: le app logiche di Azure dovrebbero essere accessibili solo su HTTPS per proteggere i dati in transito. Questo può essere applicato usando politiche di Azure come "Deny-logicapps-without-https" per garantire che tutte le app logiche utilizzino HTTPS [2].
2. Utilizzare la gestione dell'API per ulteriore sicurezza: posizionare Azure API Management (APIM) di fronte alle tue app logiche. APIM fornisce ulteriori funzionalità di sicurezza come l'autenticazione OAuth 2.0 e Azure Active Directory (AAD), che può essere utilizzata per convalidare JWTS [1] [4].
3. Convalida JWTS con le politiche di gestione dell'API: utilizzare la politica di convalida JWT nella gestione delle API per far rispettare l'esistenza e la validità di JWT. Questa politica può verificare i reclami come il pubblico per garantire che vengano elaborate solo le richieste autorizzate [1].
4. Secure JWT Transmission: trasmetti sempre JWT su HTTPS per prevenire gli attacchi di intercettazione. Ciò garantisce che il JWT venga trasmesso in modo sicuro tra il client e il server [6].
5. Memorizza in modo sicuro JWTS: memorizzare JWTS utilizzando in modo sicuro meccanismi come cookie del browser o soluzioni di archiviazione sicure per prevenire l'accesso non autorizzato [6].
6. Implementare i certificati client per le richieste HTTPS: se l'app logica deve effettuare le richieste HTTPS utilizzando i certificati client, caricare i file .crt e .Key su Azure Key Vault o BLOB Storage. Utilizzare questi file nelle azioni HTTP dell'app logica per inviare in modo sicuro le richieste HTTPS [5].
Seguendo questi passaggi, è possibile proteggere efficacemente JWT nelle app di logica di Azure utilizzando HTTPS e ulteriori misure di sicurezza.
Citazioni:
[1] https://techcomunity.microsoft.com/blog/azurevcommunityblog/part-4-secure-your-logic-app-using-api-management-8211-validate-jwt-access-restr/336802
[2] https://www.azadverizer.net/azpolicyadvertizer/deny-logicapps-without-https.html
[3] https://adityadeshpandeadi.wordpress.com/2020/07/23/authorization-for-azure-logic-apps-token byday
[4] https://turbo360.com/blog/logic-app-best-practices-secure-your-azure-logic-apps
[5] https://stackoverflow.com/questions/78261501/azure-logic-app-https-connection-over-ssl-using-crt-key-files
[6] https://www.softwaresecured.com/post/how-to-properly-secure-your-jwts
[7] https://microsoft.github.io/azure-threaat-research-matrix/credentialaccess/azt601/azt601-3/
[8] https://auth0.com/blog/how-to-validate-jwt-dotnet/