Orodha ya Usalama ya MCP: Mwongozo wa Mifumo ya AI

Kwa kuongezeka kwa haraka kwa zana za akili bandia, kuhakikisha usalama wao ni muhimu sana. Orodha hii ya usalama inalenga kusaidia watengenezaji kutambua na kupunguza hatari zinazoweza kutokea zinazohusiana na Itifaki ya Muktadha wa Model (MCP), ambayo imekuwa daraja muhimu la kuunganisha mifumo mikubwa ya lugha (LLM) na zana za nje na vyanzo vya data.

Utangulizi

Orodha hii ya usalama imeandaliwa na kudumishwa na @SlowMist_Team, kwa lengo la kuboresha usalama wa blockchain na mfumo wa ikolojia wa akili bandia. Tunashukuru FENZ.AI kwa mchango wao muhimu katika orodha hii.

Muhtasari

Tangu ilipozinduliwa mwishoni mwa 2024, MCP imekuwa ikitumika sana katika programu kuu za AI kama vile Claude Desktop, Cursor, na zingine. Hata hivyo, kuenea kwa haraka kwa MCP pia kumeleta changamoto mpya za usalama. Usanifu wa sasa wa MCP una sehemu tatu: Mwenyeji (mazingira ya programu ya AI inayoendeshwa ndani ya nchi), Mteja (kipengele kinachohusika na mawasiliano na Seva na simu za zana), na Seva (huduma ya seva inayolingana na programu jalizi ya MCP). Mtumiaji huwasiliana na AI kupitia Mwenyeji, na Mteja hutafsiri na kusambaza ombi la mtumiaji kwa Seva ya MCP, akifanya simu za zana au ufikiaji wa rasilimali. Katika hali ambapo mifumo mingi na vipengele vingi vinafanya kazi kwa ushirikiano, usanifu huu unaonyesha mfululizo wa hatari za usalama, hasa katika hali nyeti zinazohusisha miamala ya sarafu ya siri au urekebishaji wa programu jalizi maalum za LLM, ambapo hatari ni kubwa zaidi na zinahitaji hatua sahihi za usalama kusimamia.

Kwa hivyo, kuandaa na kufuata orodha kamili ya usalama ya MCP ni muhimu sana. Orodha hii inashughulikia mambo muhimu ya usalama ya kiolesura cha mwingiliano wa mtumiaji, vipengele vya mteja, programu jalizi za huduma, mifumo mingi ya ushirikiano wa MCP, na maeneo maalum (kama vile matukio ya sarafu ya siri), kwa lengo la kusaidia watengenezaji kutambua hatari zinazoweza kutokea kwa utaratibu na kuzizuia kwa wakati. Kwa kutekeleza hatua hizi za usalama, uthabiti na udhibiti wa jumla wa mfumo wa MCP unaweza kuimarishwa kwa ufanisi, kuhakikisha kwamba usalama wa programu za AI unaendana na maendeleo yao ya haraka.

Jinsi ya Kutumia

Orodha hii inatokana na pointi za hatari zinazowezekana ambazo zimekutana nazo katika ukaguzi wa miradi ya MCP, na inalenga kusaidia watengenezaji kuhakikisha usalama wa utekelezaji wa MCP. Tunatumia viwango 3 vya vipaumbele kuashiria umuhimu wa vitu:

• 🟢️ Inaashiria kipengee kilichopendekezwa, lakini kinaweza kuachwa katika hali fulani.
• 🔶 Inaashiria kipengee kilichopendekezwa sana, lakini kinaweza kuachwa katika hali maalum, uachaji unaweza kuwa na athari mbaya kwa usalama.
• 🟥️ Inaashiria kipengee ambacho hakiwezi kuachwa kwa hali yoyote, kuondoa vipengele hivi kunaweza kusababisha kushindwa kwa mfumo au udhaifu wa usalama.

Usalama wa Seva ya MCP (Programu Jalizi ya MCP)

Huduma ya MCP ni huduma ya nje ambayo hutoa zana, rasilimali na utendaji kwa simu za AI. Kwa kawaida huwa na rasilimali, zana na vidokezo. Hapa kuna mambo ya kuzingatia ili kuhakikisha usalama wa seva ya MCP:

Usalama wa API

• Uthibitishaji wa Ingizo: 🟥️ Thibitisha kikamilifu ingizo zote za API, kuzuia mashambulizi ya sindano na vigezo haramu. Hii ni pamoja na kuthibitisha aina za data, urefu na umbizo, na kusafisha na kukinga ingizo.
• Kiwango cha Kikomo cha API: 🔶 Tekeleza kikomo cha kiwango cha simu cha API, kuzuia matumizi mabaya na mashambulizi. Hii inaweza kuzuia watumiaji hasidi kuzidi seva kwa kutuma maombi mengi.
• Usimbaji wa Pato: 🔶 Simba pato la API kwa usahihi, kuzuia mashambulizi ya hati kati ya tovuti (XSS). Hii ni pamoja na kusimba matokeo kama vile HTML, JavaScript na URL.

Uthibitishaji na Uidhinishaji wa Seva

• Udhibiti wa Ufikiaji: 🟥️ Tekeleza udhibiti wa ufikiaji unaotegemea majukumu, punguza ufikiaji wa rasilimali, tekeleza kanuni ya upendeleo mdogo zaidi. Ni watumiaji walioidhinishwa pekee ndio wanaoweza kufikia rasilimali maalum.
• Usimamizi wa Sifa: 🟥️ Simamia na uhifadhi sifa za huduma kwa usalama, epuka usimbaji mgumu, tumia huduma za usimamizi wa ufunguo. Hii ni pamoja na kutumia usimbaji fiche kuhifadhi sifa, na kuzungusha sifa mara kwa mara.
• Uthibitishaji wa Huduma za Nje: 🟥️ Tumia njia salama za kuthibitisha huduma za wahusika wengine. Hii ni pamoja na kutumia itifaki salama kama vile OAuth 2.0 au SAML.
• Haki Ndogo: 🔶 Michakato ya huduma inaendeshwa na haki ndogo muhimu, kupunguza uso unaowezekana wa mashambulizi na hatari za upendeleo. Hii inamaanisha kuwa huduma inapaswa kuwa na ruhusa tu zinazohitajika ili kutekeleza utendaji wake.
• Mzunguko wa Ufunguo wa API: 🔶 Zungusha ufunguo wa API na sifa za huduma mara kwa mara kiotomatiki, punguza uhalali wa ufunguo. Hii inaweza kupunguza hatari ya uvujaji wa ufunguo.
• Uthibitishaji wa Huduma: 🔶 Toa zana za uthibitishaji wa kitambulisho cha huduma, kwa urahisi kwa wateja kuthibitisha na kutumia kwa usalama. Hii inaweza kusaidia wateja kuthibitisha kuwa wanawasiliana na huduma inayoaminika.

Udhibiti wa Uendelezaji wa Mandharinyuma

• Usimamizi wa Mzunguko wa Maisha: 🟥️ Tekeleza usimamizi mkali wa mzunguko wa maisha wa programu jalizi ya MCP, iliyosawazishwa na mteja. Programu jalizi inapaswa kuanzishwa na kusimamishwa kwa usahihi wakati haihitajiki tena.
• Funga Usafishaji: 🟥️ Lazimisha usafishaji wa michakato yote ya usuli ya MCP wakati mteja anafungwa. Hii inaweza kuzuia programu jalizi hasidi kuendelea kufanya kazi baada ya mteja kufungwa.
• Utaratibu wa Ukaguzi wa Afya: 🔶 Kagua hali ya programu jalizi ya MCP mara kwa mara, tambua uendelezaji usio wa kawaida. Hii inaweza kusaidia kutambua programu jalizi ambazo haziendeshi vizuri.
• Ufuatiliaji wa Shughuli za Mandharinyuma: 🔶 Fuatilia na urekodi shughuli zote za usuli za MCP. Hii inaweza kusaidia kutambua shughuli hasidi.
• Kikomo cha Shughuli: 🔶 Punguza aina na muda wa shughuli ambazo programu jalizi ya MCP inaweza kufanya nyuma. Hii inaweza kupunguza uharibifu unaosababishwa na programu jalizi hasidi.

Usalama wa Utekelezaji na Wakati wa Kuendesha

• Mazingira ya Kutengwa: 🟥️ Huduma inaendeshwa katika mazingira yaliyotengwa (kontena, VM, sandbox), kuzuia kutoroka, kuzuia mashambulizi ya kusonga mbele mashariki-magharibi. Hii inaweza kuzuia huduma hasidi kuathiri huduma au mifumo mingine.
• Usalama wa Kontena: 🟥️ Tumia usanidi ulioimarishwa wa usalama wa kontena na uendeshaji wa mtumiaji sio mkuu, tekeleza miundombinu isiyobadilika, ulinzi wa wakati wa kuendesha. Hii inaweza kuboresha usalama wa vyombo.
• Boot Salama: 🔶 Thibitisha uadilifu wa mchakato wa uanzishaji wa huduma, tekeleza mnyororo salama wa uanzishaji na ukaguzi wa uadilifu. Hii inaweza kuzuia huduma hasidi kuingizwa wakati wa uanzishaji.
• Usalama wa Vigezo vya Mazingira: 🔶 Vigezo nyeti vya mazingira vinalindwa, havijafichuliwa katika kumbukumbu. Hii inaweza kuzuia watumiaji hasidi kufikia habari nyeti.
• Kikomo cha Rasilimali: 🔶 Tekeleza kikomo cha matumizi ya rasilimali, kuzuia simu nyingi za kurudia wakati mfumo mkuu wa lugha unakosea. Hii inaweza kuzuia huduma hasidi kumaliza rasilimali za mfumo.

Msimbo na Uadilifu wa Data

• Utaratibu wa Uthibitishaji wa Uadilifu: 🟥️ Tumia saini za dijiti, uthibitishaji wa hashi na mifumo mingine ili kuhakikisha kuwa msimbo haujabadilishwa. Hii inaweza kuzuia watumiaji hasidi kubadilisha msimbo.
• Uthibitishaji wa Mbali: 🔶 Inasaidia utaratibu wa uthibitishaji wa mbali wa uadilifu wa msimbo. Hii inaruhusu watumiaji wa mbali kuthibitisha kama msimbo umebadilishwa.
• Mchanganyiko wa Msimbo na Uimarishaji: 🟢️ Tumia mbinu za mchanganyiko wa msimbo na uimarishaji, ongeza ugumu wa uhandisi wa nyuma. Hii inaweza kufanya iwe vigumu zaidi kwa watumiaji hasidi kuelewa na kubadilisha msimbo.

Usalama wa Ugavi

• Usimamizi wa Utegemezi: 🟥️ Simamia kwa usalama utegemezi wa wahusika wengine. Hii ni pamoja na kufuatilia utegemezi, kuhakikisha kuwa wanasasishwa, na kuwachanganua kwa udhaifu.
• Uadilifu wa Kifurushi: 🟥️ Thibitisha uadilifu na uhalisi wa kifurushi. Hii inaweza kuzuia watumiaji hasidi kuingiza vifurushi hasidi.
• Uthibitishaji wa Chanzo: 🔶 Thibitisha chanzo cha msimbo wote na utegemezi. Hii inaweza kusaidia kuhakikisha kuwa msimbo unatoka kwa chanzo kinachoaminika.
• Ujenzi Salama: 🔶 Hakikisha mchakato wa ujenzi ni salama. Hii ni pamoja na kutumia zana salama za ujenzi, na kuhakikisha mazingira ya ujenzi ni salama.

Ufuatiliaji na Urekodi wa Kumbukumbu

• Ugunduzi wa Isiyo ya Kawaida: 🟥️ Gundua na uripoti mifumo isiyo ya kawaida ya shughuli. Hii inaweza kusaidia kutambua shughuli hasidi.
• Urekodi wa Kumbukumbu wa Kina: 🟥️ Rekodi shughuli zote za huduma na matukio ya usalama. Hii inaweza kusaidia kuchunguza matukio ya usalama.
• Tahadhari za Matukio ya Usalama: 🟥️ Sanidi tahadhari za wakati halisi kwa matukio muhimu ya usalama. Hii inaweza kusaidia kujibu matukio ya usalama kwa wakati.
• Usimamizi wa Kumbukumbu Uliokusanywa: 🔶 Kusanya na kuchambua kumbukumbu zilizokusanywa. Hii inaweza kutoa mtazamo mpana zaidi wa matukio ya usalama.
• Uadilifu wa Kumbukumbu: 🔶 Hakikisha uadilifu wa kumbukumbu, kuzuia kubadilishwa. Hii inaweza kuzuia watumiaji hasidi kufuta au kubadilisha kumbukumbu.
• Uwezo wa Ukaguzi: 🔶 Inasaidia ukaguzi wa kina na uchunguzi wa matukio. Hii inaweza kusaidia kuamua sababu ya matukio ya usalama.

Kutengwa kwa Mazingira ya Simu

• Kutengwa Kati ya MCP: 🟥️ Hakikisha kutengwa kwa utendakazi kati ya huduma nyingi za MCP. Hii inaweza kuzuia huduma hasidi ya MCP kuathiri huduma zingine za MCP.
• Udhibiti wa Ufikiaji wa Rasilimali: 🟥️ Weka mipaka ya ruhusa ya ufikiaji wa rasilimali kwa kila huduma ya MCP. Hii inaweza kupunguza rasilimali ambazo huduma hasidi ya MCP inaweza kufikia.
• Kutenganishwa kwa Ruhusa za Zana: 🔶 Zana katika maeneo tofauti hutumia seti tofauti za ruhusa. Hii inaweza kupunguza uharibifu unaosababishwa na zana hasidi.

Utangamano wa Jukwaa na Usalama

• Kutengwa kwa Rasilimali za Mfumo: 🟥️ Tekeleza sera zinazofaa za kutengwa kwa rasilimali kulingana na sifa tofauti za mfumo wa uendeshaji. Hii inaweza kuzuia huduma hasidi kuathiri huduma au mifumo mingine.
• Jaribio la Utangamano wa Jukwaa: 🔶 Jaribu uthabiti wa tabia salama ya huduma ya MCP kwenye mifumo tofauti ya uendeshaji na wateja. Hii inaweza kuhakikisha kuwa huduma ni salama kwenye majukwaa yote.
• Tathmini ya Hatari Maalum ya Jukwaa: 🔶 Tathmini hatari za kipekee za usalama na hatua za kupunguza za jukwaa maalum. Hii inaweza kusaidia kutambua na kupunguza hatari za usalama maalum za jukwaa.
• Ushughulikiaji Tofauti wa Mteja: 🔶 Hakikisha udhibiti wa usalama unaweza kukabiliana na tofauti katika utekelezaji anuwai wa mteja. Hii inaweza kuhakikisha kuwa huduma ni salama na wateja wote.

Usalama wa Data na Faragha

• Upeo Mdogo wa Data: 🟥️ Kusanya na uchakata data muhimu pekee. Hii inaweza kupunguza hatari ya uvujaji wa data.
• Usimbaji Fiche wa Data: 🟥️ Data nyeti imesimbwa fiche katika uhifadhi na usafirishaji. Hii inaweza kuzuia watumiaji hasidi kufikia habari nyeti.
• Kutengwa kwa Data: 🟥️ Data ya watumiaji tofauti imetengwa kwa ufanisi. Hii inaweza kuzuia watumiaji hasidi kufikia data ya watumiaji wengine.
• Udhibiti wa Ufikiaji wa Data: 🟥️ Tekeleza udhibiti mkali wa ufikiaji wa data. Hii inaweza kupunguza ufikiaji wa data.
• Utambuzi wa Data Nyeti: 🟥️ Tambua kiotomatiki na ushughulikie data nyeti haswa. Hii inaweza kusaidia kuzuia uvujaji wa data nyeti.

Usalama wa Rasilimali

• Udhibiti wa Ufikiaji wa Rasilimali: 🟥️ Tekeleza udhibiti wa ufikiaji wa rasilimali. Hii inaweza kupunguza ufikiaji wa rasilimali maalum.
• Kikomo cha Rasilimali: 🔶 Punguza ukubwa na wingi wa rasilimali moja. Hii inaweza kuzuia watumiaji hasidi kumaliza rasilimali za mfumo.
• Usalama wa Kiolezo cha Rasilimali: 🔶 Hakikisha vigezo vya kiolezo cha rasilimali vimethibitishwa na kusafishwa. Hii inaweza kuzuia watumiaji hasidi kuingiza msimbo hasidi.
• Uwekaji Alama wa Rasilimali Nyeti: 🔶 Weka alama na ushughulikie rasilimali nyeti haswa. Hii inaweza kusaidia kuzuia uvujaji wa rasilimali nyeti.

Usalama wa Utekelezaji wa Zana

• Mbinu Salama za Usimbaji: 🟥️ Fuata viwango salama vya usimbaji na mazoea bora. Hii inaweza kupunguza idadi ya udhaifu katika msimbo.
• Kutengwa kwa Zana: 🟥️ Utekelezaji wa zana uko katika mazingira yanayodhibitiwa, kuzuia athari za kiwango cha mfumo. Hii inaweza kuzuia zana hasidi kuathiri huduma au mifumo mingine.
• Uthibitishaji wa Ingizo: 🟥️ Thibitisha kikamilifu ingizo zote kutoka kwa mteja. Hii inaweza kuzuia watumiaji hasidi kuingiza msimbo hasidi.
• Udhibiti wa Ruhusa za Zana: 🟥️ Kila zana ina ruhusa ndogo zinazohitajika ili kukamilisha kazi. Hii inaweza kupunguza uharibifu unaosababishwa na zana hasidi.
• Uthibitishaji wa Data: 🟥️ Thibitisha data iliyoshughulikiwa na zana, kuzuia sindano na kubadilishwa. Hii inaweza kuzuia watumiaji hasidi kuingiza data hasidi.
• Vikwazo vya Tabia ya Zana: 🟥️ Punguza wigo na aina ya shughuli ambazo zana inaweza kufanya. Hii inaweza kupunguza uharibifu unaosababishwa na zana hasidi.
• Usalama wa Habari Iliyorejeshwa ya Kiolesura cha Wahusika Wengine: 🟥️ Thibitisha ikiwa habari iliyorejeshwa ya kiolesura inakidhi matarajio, na haipaswi kuingizwa moja kwa moja kwenye muktadha. Hii inaweza kuzuia zana hasidi kutumia kiolesura cha wahusika wengine.
• Ushughulikiaji wa Makosa: 🔶 Shughulikia makosa kwa usalama, bila kufichua habari nyeti. Hii inaweza kuzuia watumiaji hasidi kutumia habari ya makosa.
• Kutenganishwa kwa Nafasi ya Jina: 🔶 Tekeleza kutengwa kwa nafasi ya jina kwa zana tofauti. Hii inaweza kuzuia mizozo kati ya zana.

Usalama wa Mteja wa MCP / Mwenyeji wa MCP

Mwenyeji ni mazingira ambayo programu ya AI na mteja wa MCP inaendeshwa, ambayo ndio mahali pa kuingia kwa mtumiaji wa mwisho kuingiliana na mfumo wa AI. Mteja ni sehemu ndani ya programu ya AI inayohusika na kuwasiliana na huduma ya MCP, kushughulikia muktadha, simu za zana, na onyesho la matokeo. Hapa kuna mambo ya kuzingatia ili kulinda mteja wa MCP na mwenyeji:

Usalama wa Mwingiliano wa Mtumiaji

• Usalama wa Kiolesura cha Mtumiaji: 🟥️ Kiolesura cha mtumiaji kinaonyesha wazi wigo wa ruhusa na athari zinazoweza kutokea za shughuli za AI, hutoa viashiria vya usalama angavu. Hii inaweza kusaidia watumiaji kuelewa ruhusa wanazotoa kwa AI.
• Uthibitisho wa Uendeshaji Nyeti: 🟥️ Uendeshaji hatari (kama vile kufuta faili, kuhamisha fedha) unahitaji uthibitisho wazi wa mtumiaji. Hii inaweza kuzuia watumiaji kutekeleza uendeshaji hatari kwa bahati mbaya.
• Ombi la Ruhusa Linaonekana: 🟥️ Ombi la ruhusa linaeleza wazi kusudi na wigo, kusaidia watumiaji kufanya maamuzi sahihi, epuka ruhusa nyingi. Hii inaweza kusaidia watumiaji kuelewa ruhusa wanazotoa kwa AI.
• Uendeshaji Unaonekana: 🔶 Simu za zana na ufikiaji wa data unaonekana na unakaguliwa kwa mtumiaji, toa kumbukumbu za uendeshaji za kina. Hii inaweza kusaidia watumiaji kuelewa uendeshaji ambao AI inafanya.
• Uwazi wa Habari: 🔶 Zana inapaswa kuruhusu watumiaji kuonyesha tegi zilizofichwa kwa chaguo-msingi, kuhakikisha kuwa muktadha ambao watumiaji wanaona na muktadha halisi ulioundwa na kuitwa unakamilika na unaendana, kuzuia mantiki hasidi kuwepo katika tegi zilizofichwa.
• Maoni ya Hali: 🔶 Watumiaji wanaweza kuelewa wazi uendeshaji wa MCP unaoendeshwa kwa sasa.

Udhibiti na Ufuatiliaji wa AI

• Rekodi za Uendeshaji: 🟥️ Rekodi uendeshaji wote muhimu wa AI na matokeo yake. Hii inaweza kusaidia kuchunguza matukio ya usalama.
• Ugunduzi Usio wa Kawaida: 🔶 Gundua mifumo ya simu ya zana isiyo ya kawaida au mlolongo wa maombi. Hii inaweza kusaidia kutambua shughuli hasidi.
• Kikomo cha Simu ya Zana: 🔶 Tekeleza marudio ya simu ya zana na vikomo vya idadi. Hii inaweza kuzuia watumiaji hasidi kutumia vibaya zana.

Usalama wa Hifadhi ya Ndani

• Hifadhi Salama ya Sifa: 🟥️ Tumia mnyororo muhimu wa mfumo au hifadhi maalum ya usimbaji fiche kulinda sifa za uthibitishaji, kuzuia ufikiaji usioidhinishwa. Hii inaweza kuzuia watumiaji hasidi kufikia sifa.
• Kutengwa kwa Data Nyeti: 🔶 Tekeleza mfumo wa kutengwa kwa data, hifadhi na uchakata data nyeti ya mtumiaji tofauti na data ya kawaida. Hii inaweza kuzuia watumiaji hasidi kufikia data nyeti.

Usalama wa Maombi

• Uadilifu wa Maombi: 🟥️ Thibitisha uadilifu wa maombi na programu jalizi ya MCP, kuzuia kubadilishwa. Hii inaweza kuzuia watumiaji hasidi kubadilisha maombi.
• Uthibitisho wa Sasisho: 🔶 Sasisho za maombi mwenyeji zimepitia uthibitishaji wa saini ya dijiti. Hii inaweza kuhakikisha kuwa sasisho zinatoka kwa chanzo kinachoaminika.
• Sandbox ya Maombi: 🟢️ Jaribu kuendesha maombi katika mazingira ya sandbox, punguza ufikiaji wa mfumo. Hii inaweza kupunguza uharibifu unaosababishwa na maombi hasidi.

Uthibitishaji na Uidhinishaji wa Mteja

• Uthibitishaji wa Lazima: 🟥️ Tekeleza uthibitishaji kabla ya kuwasiliana na huduma yoyote muhimu ya MCP, kuzuia ufikiaji usiojulikana. Hii inaweza kuzuia watumiaji wasioidhinishwa kufikia huduma.
• Utekelezaji wa OAuth: 🔶 Tekeleza kwa usahihi OAuth 2.1 au mchakato wa toleo la juu, fuata mazoea bora na viwango vya usalama. Hii inaweza kuhakikisha kuwa uthibitishaji ni salama.
• Kigezo cha Hali: 🔶 Tekeleza kigezo cha hali kwa wateja wengine wa wavuti ili kuzuia mashambulizi ya CSRF, tumia thamani ya kipekee ya nasibu kwa kila ombi. Hii inaweza kuzuia mashambulizi ya kughushi ombi la tovuti (CSRF).

Zana za MCP na Usimamizi wa Seva

• Uthibitisho wa Zana za MCP: 🟥️ Thibitisha uhalisi na uadilifu wa zana zilizosajiliwa. Hii inaweza kuzuia zana hasidi kusajiliwa.
• Sasisho Salama: 🟥️ Wateja wa MCP huangalia na kutumia sasisho za usalama mara kwa mara, thibitisha ikiwa zana zilizosasishwa zina maelezo hasidi. Hii inaweza kuhakikisha kuwa zana zinasasishwa, na hazina msimbo hasidi.
• Uthibitishaji wa Jina la Kazi: 🟥️ Angalia mgongano wa jina na uwezekano wa uandikishaji hasidi kabla ya kusajili zana. Hii inaweza kuzuia zana hasidi kuandika zana zilizopo.
• Ugunduzi wa MCP Hasidi: 🟥️ Fuatilia na utambue mifumo ya tabia ya MCP inayoweza kuwa hasidi. Hii inaweza kusaidia kutambua MCP hasidi.
• Udhibiti wa Jina la Zana za MCP: 🔶 Tumia nafasi ya jina au kitambulisho cha kipekee, kuzuia mizozo ya jina. Hii inaweza kuzuia mizozo kati ya zana.
• Saraka ya Huduma: 🔶 Dumisha saraka iliyoidhinishwa ya huduma na zana za MCP zinazoaminika. Hii inaweza kusaidia watumiaji kupata huduma zinazoaminika.
• Utatuzi wa Mizozo: 🔶 Kuna sheria wazi za kutatua mizozo ya zana za jina moja.
• Kutengwa kwa Kikoa: 🔶 Zana za kikoa tofauti zimetengwa kutoka kwa kila mmoja, kuzuia ushawishi wa msalaba.
• Utaratibu wa Kipaumbele: 🔶 Anzisha sheria wazi za kipaumbele cha kazi, epuka uandikishaji hasidi.
• Udhibiti wa Toleo: 🔶 Tekeleza udhibiti wa toleo kwa kazi na zana, tambua mabadiliko.
• Usajili wa Zana na Mfumo wa Kufuta: 🔶 Fafanua mchakato wa usajili na kufuta zana, kuzuia hatari za usalama za zana za zamani.
• Mfumo wa Ugunduzi wa Mizozo: 🔶 Gundua na utatue mizozo ya kazi na rasilimali katika mazingira mengi ya MCP.
• Uainishaji wa Zana: 🟢️ Aina za zana kulingana na usikivu na kiwango cha hatari.

Usalama wa Ujumbe

• Ulinzi wa Sindano ya Ujumbe: 🟥️ Tekeleza hatua nyingi za ulinzi kuzuia mashambulizi ya sindano ya ujumbe, pamoja na uthibitisho wa kibinadamu kwenye utekelezaji muhimu.
• Ugunduzi wa Maagizo Hasidi: 🟥️ Anzisha mfumo wa kugundua na kuzuia maagizo ya mtumiaji yanayoweza kuwa hasidi, epuka mfumo kudhibitiwa, kama vile kugundua kuzuia maagizo hasidi yaliyopakiwa mapema wakati wa uanzishaji wa ndani, na zana hasidi kutoka kwa seva za MCP za wahusika wengine zina maagizo hatari yaliyofichwa.
• Ulinzi wa Kidokezo cha Mfumo: 🟥️ Kidokezo cha mfumo kimetengwa wazi kutoka kwa ingizo la mtumiaji, kuzuia kubadilishwa.
• Uchujaji wa Data Nyeti: 🟥️ Chuja data nyeti ya kibinafsi kutoka kwa vidokezo na muktadha.
• Kutengwa kwa Muktadha: 🔶 Hakikisha kuwa yaliyomo kwenye muktadha kutoka vyanzo tofauti yametengwa kutoka kwa kila mmoja, kuzuia uchafuzi wa muktadha na uvujaji wa habari.
• Violezo vya Kidokezo: 🔶 Tumia violezo salama vya kidokezo, punguza hatari ya sindano.
• Uthibitishaji wa Maelezo ya Zana: 🔶 Angalia maagizo yanayoweza kuwa hasidi katika maelezo ya zana.
• Uthibitishaji wa Utangamano wa Kidokezo: 🔶 Hakikisha kuwa vidokezo sawa vinazalisha matokeo yanayoendana yanayotarajiwa katika mazingira tofauti.
• Usimamizi wa Muktadha wa Kihistoria: 🔶 Fafanua mfumo salama wa kusafisha muktadha wa kihistoria, kuzuia hatari ya uvujaji wa habari inayosababishwa na mkusanyiko wa data ya zamani.

Kumbukumbu na Ukaguzi

• Urekodi wa Kumbukumbu wa Mteja: 🟥️ Rekodi mwingiliano wote na huduma za MCP, simu za zana na shughuli za idhini.
• Rekodi ya Matukio ya Usalama: 🟥️ Rekodi matukio yote yanayohusiana na usalama, pamoja na kukataliwa kwa idhini.
• Tahadhari ya Isiyo ya Kawaida: 🔶 Gundua na uarifu mifumo isiyo ya kawaida ya shughuli.

Uthibitishaji wa Seva na Usalama wa Mawasiliano

• Uthibitishaji wa Utambulisho wa Seva: 🟥️ Thibitisha utambulisho wa seva ya MCP, zuia kuunganisha kwa seva hasidi, tekeleza usakinishaji wa cheti.
• Uthibitishaji wa Cheti: 🟥️ Thibitisha kwa umakini cheti cha TLS kwa seva za mbali, zuia mashambulizi ya mtu wa kati, angalia ukamilifu wa mnyororo wa cheti.
• Usimbaji Fiche wa Mawasiliano: 🟥️ Mawasiliano yote ya mteja-seva hutumia usimbaji fiche wa TLS 1.2+, zima suti dhaifu za usimbaji fiche.
• Usanidi wa Itifaki Salama: 🔶 Sanidi vigezo salama vya TLS, kagua na usasishe algoriti za usimbaji fiche na itifaki mara kwa mara.

Hifadhi ya Tokeni ya Ruhusa na Usimamizi

• Kikomo cha Upeo wa Ruhusa: 🟥️ Punguza kwa umakini wigo wa ruhusa wa tokeni, tekeleza kanuni ya ruhusa ndogo.

Udhibiti wa Idhini Kiotomatiki

• Kikomo cha Idhini Kiotomatiki: 🟥️ Dhibiti kwa umakini wigo wa zana na uendeshaji ambao unaweza kuidhinishwa kiotomatiki.
• Usimamizi wa Orodha Nyeupe: 🔶 Fafanua wazi mfumo wa orodha nyeupe ya zana zinazoweza kuidhinishwa kiotomatiki.
• Tathmini ya Hatari Nguvu: 🔶 Rekebisha sera za idhini kiotomatiki kulingana na muktadha.
• Ukaguzi wa Mchakato wa Idhini: 🔶 Rekodi na ukague maamuzi yote ya idhini kiotomatiki.

Usalama wa Sampuli

• Udhibiti wa Yaliyomo Kwenye Muktadha: 🟥️ Dhibiti kwa umakini wigo