将用户输入用作 Amazon DynamoDB 分区键是否安全？答案

【问题标题】：Is it secure to use user input as an Amazon DynamoDB partition key?将用户输入用作 Amazon DynamoDB 分区键是否安全？
【发布时间】：2021-09-09 14:18:48
【问题描述】：

我正在考虑创建一个使用用户输入作为哈希键的 Amazon DynamoDB 表。我担心攻击者可能会通过恶意选择具有相同哈希的密钥来发起拒绝服务攻击，从而将大量数据添加到单个分区中。

亚马逊关于分区的文章没有解决这个问题：https://docs.aws.amazon.com/amazondynamodb/latest/developerguide/HowItWorks.Partitions.html

这里有一篇描述这种攻击的文章：https://lwn.net/Articles/474912/

这个问题有点类似，但不关注安全性，也没有答案：Is it good to use user-input as partition key value in DynamoDB

【问题讨论】：

你为什么要这样做？如果您希望您的用户选择密钥，那么您应该在清理它之后自己对其进行哈希处理。
该表存储用户数据。我正在考虑使用用户的 Cognito 用户名，因为它是不可变的。我知道我可以对用户名进行加密散列以确保其分布良好。对于我的用例，在创建帐户时为用户分配用户 ID 并将该 ID 用作表键更有意义。据我了解 Cognito，这将作为自定义属性实现。
DynamoDB 使用自己的 salt 对每个项目的键进行哈希处理，以便在分区键空间中生成键的均匀分布。但是，如果该表使用分区 + 排序键模式并且您将两者都接受为来自用户的输入，那么就键空间中的分布而言，所有的赌注都是错误的。

标签： amazon-web-services security amazon-dynamodb denial-of-service

【解决方案1】：

您绝对正确，用户可以至少在理论上制作数据以将其全部散列到同一个分区。这并不容易——亚马逊没有公布他们用于分区散列的特定算法，但它也没有声称它是加密安全的。但是，如果这是一个问题，这也意味着您允许该特定用户将大量数据插入您的数据库 - 这不是一个问题吗？此外，如果您的计划是使用用户 ID 作为密钥，则此漏洞利用将需要攻击者创建大量用户 ID - 再说一遍，这不是您想要解决更高层的问题吗？

无论如何，作为另一层安全性，您确实可以解决困扰您的问题：您可以使用您选择的任何加密安全哈希函数对用户 ID 进行哈希处理并使用结果该功能作为您交给亚马逊的钥匙。这将消除恶意用户制造冲突的风险。

【讨论】：

许多使攻击者创建虚假帐户的成本更高的技术也增加了合法用户的摩擦。修复允许攻击者扩大攻击的漏洞会为潜在的攻击者增加大量成本，而不会造成摩擦。