Caching of system users authorization details are broken

[elsand]

Description

When generating cache keys for system users, the system user id is not part of the list of identifiable claims on which the key is based

Reproduction

1. Perform a request to a dialog, using a system user that has been granted access to the dialog, owned by the same organization (consumer/supplier)
2. Perform a request to a dialog, using a different system user that has NOT been granted access to the dialog, owned by the same organization (consumer/supplier)

Expected behavior

1. OK
2. Unauthorized

Actual behavior

1. OK
2. OK

Additional information

The two requests will have identical cache keys, causing the second request from to hit the cache for the PDP call. This is a security issue, but mitigated by the fact that it must be owned by the same organization.

[LeifHelstad]

Test

For læringens del ønsker jeg å få til å teste #1363
Dessverre får jeg ikke helt tak i steg 2 i reproduksjonen. Hva er en "...different system user...owned by the same organization...".
Har noen mulighet til å forklare meg hva slags brukere jeg må benytte her?

Jeg har for eksempel testet tidligere at DAGL og REGN for samme org kan lese samme dialog slik at jeg får flere "lest av" på en og samme dialog. Jeg regner med at DAGL er fin å benytte for steg 1. men da at REGN er uegnet for steg 2. for da skal bruker egentlig ikke ha tilgang. Hva slags knytning skal eventuelt bruker i steg 2. ha til samme org som i 1.?

Test av denne blir mest for læring

Antakelig er denne testet godt nok, særlig siden den er såpass spesifikk.

Verdien av å teste denne vil ligge mer i forstå systembruker og autentisering ved å følge oppskriften fra Bjørn her:

Systembrukere kan anses som "virtuelle personer", som kan kan opprettes og delegeres rettigheter hos en organisasjon. Se https://docs.altinn.studio/authentication/what-do-you-get/systemuser/. For å teste denne vil man trenge en DAGL for å opprette to slike systembrukere. Den ene gis en rolle/tjenesterettighet, som gir tilgang til en eller flere dialoger for den tilhørende organisasjonen. Den andre gis ingen rettigheter. Ved hjelp av tokengeneratoren kan man autentisere seg som systembruker. Testen blir altså å først autentisere seg som systembruker nr 1 (med rettigheter), og forsøke å hente ut en liste med dialoger, som da skal gi et ikke-tomt resultat. Påfølgende identiske kall skal da treffe en autorisasjonscache, som gjør kallet raskere. Forsøk så å autentisere som systembruker nr 2 (den uten rettigheter), og gjør samme kall. Dette skal da returnere et tomt resultat. (Før fiks ville man her truffet cachen som tilhørte den første systembrukern og fått ut samme lista)

Lite å bekrefte

Siden feilen allerede er rettet er det heller ingen mulighet for å sette opp et feil-scenario å teste først for å se om man følger rett oppskrift.