¿Qué tan seguro es usar una configuración de AWS Cognito para un cliente?

(por contexto, estoy hablando de grupos de usuarios de cognito / proveedor de identidad, internamente llamado cognito-idp):

Tiende a ser muy seguro. Déjame explicarte por qué, según mi experiencia:

• Lo más probable es que ADMIN_NO_SRP realice los intercambios de contraseñas (a un servidor del lado del servidor, y requiere AWS Security para invocarlo) y / o utilizando el Protocolo SRP. Lo más probable es que las aplicaciones de una sola página de las que habla tienden a confiar en el protocolo SRP, ya que son … sin servidor (eh)
• SRP significa “Contraseña remota segura”. Como tal, es un mecanismo de respuesta desafío / resumen basado en una criptografía fuerte. Solo AWS conoce la contraseña correcta y sus controles siguen la seguridad de AWS (para obtener una descripción general, consulte este enlace)
• En este punto, debe comprender que hay cifrado tanto en tránsito como en reposo.
• También puede fortalecerlo aplicando un secreto de cliente al configurar su aplicación. Por lo tanto, siempre que proporcione un nombre de usuario, también debe aplicar un hash secreto para validar al cliente. Podría ser útil o no (en realidad es mucho cuando se usa ADMIN_NO_SRP)
• Por defecto, cognito requiere que el usuario valide su correo electrónico / número de teléfono (puede anularlo, pero no es realmente recomendable). Se utilizará en caso de un acceso MFA o una recuperación de cuenta. Por lo tanto, todas y cada una de las transacciones que requieren la intervención de su usuario (como una contraseña perdida) efectivamente requieren que primero se valide su correo electrónico y su número de teléfono (es por eso que no lo recomendamos), para recuperar su cuenta. Entonces la cuenta de usuario es tan segura como su teléfono / correo electrónico.
• También puede permitir que los usuarios especifiquen un dispositivo al iniciar sesión, lo que les permite registrarse individualmente desde sus dispositivos (piense en un teléfono móvil robado)
• Cognito también rastrea fallas de contraseña, bloqueando efectivamente a los usuarios para que no intenten iniciar sesión una vez que alcanza un cierto umbral.
• Además, puede agregar desafíos de seguridad adicionales por medio de Lambdas. Una posibilidad es requerir que el usuario envíe un segundo token de autenticación (como un pin de seguridad y / o un código TOTP)

Yo diría que Cognito es bastante seguro, si consideramos los posibles factores de riesgo.

Por supuesto, siempre está el MOSSAD, por lo que no puedo responder por su seguridad 🙂

AWS realmente apunta al desarrollo de aplicaciones móviles donde la infraestructura de seguridad no es un ciudadano de primera clase. Es ideal para lugares que usan tokens y se han dado cuenta de que realmente no se están manejando tan bien.

Cognito es lo suficientemente bueno para muchas aplicaciones móviles. Por supuesto, no lo usaría para algo como una banca en línea o una aplicación de atención médica donde solo la seguridad seria es una opción.

Todavía es necesario leer detenidamente la documentación de AWS y seguir sus pautas de desarrollo. Como la mayoría de las cosas, si se usa mal es explotable.

No seguí su enlace, pero si tienen las claves secretas expuestas, eso no estaría siguiendo las pautas de AWS. Eso es similar a otras cosas que he visto como poner contraseñas en archivos de texto sin formato en un servidor web Apache. Es vergonzoso lo común que fue. Estas tonterías no significan que apache no sea seguro. Simplemente significa que un ingeniero necesita poder para encontrar un trabajo en el que sea bueno.

Con solo un poco de cuidado, uno puede usar cognito para hacer un buen trabajo sin mucho trabajo o infraestructura.

Creo que AWS está proporcionando un excelente servicio para la mayoría de los tipos de organizaciones que necesitan ayuda para elevar su juego de seguridad de aplicaciones móviles.

Probablemente nunca lo usaré en mi rol empresarial actual, pero no tendría miedo de usarlo si tuviera un horario parcial para una startup.