আক্রমণকারীর প্রভাব
একজন আক্রমণকারী সংবেদনশীল ব্যবহারকারীর ডেটাতে অননুমোদিত অ্যাক্সেস পেতে পারে, ডাটাবেস রেকর্ডগুলি সংশোধন করতে পারে, বা MVP স্থাপনায় সাধারণ নজরদারিগুলিকে কাজে লাগিয়ে অবকাঠামো হাইজ্যাক করতে পারে৷ এর মধ্যে রয়েছে [S4] অনুপস্থিত অ্যাক্সেস নিয়ন্ত্রণের কারণে ক্রস-টেন্যান্ট ডেটা অ্যাক্সেস করা বা API কীগুলি ব্যবহার করে খরচ বহন করা এবং [S2] থেকে ডেটা বের করা।
মূল কারণ
একটি MVP চালু করার তাড়ায়, ডেভেলপাররা-বিশেষ করে যারা AI-সহায়ক "ভাইব কোডিং" ব্যবহার করছেন-প্রায়শই ভিত্তিগত নিরাপত্তা কনফিগারেশন উপেক্ষা করেন। এই দুর্বলতার প্রাথমিক চালক হল:
- সিক্রেট লিকেজ: শংসাপত্র, যেমন ডাটাবেস স্ট্রিং বা AI প্রদানকারী কী, ঘটনাক্রমে [S2] সংস্করণ নিয়ন্ত্রণে প্রতিশ্রুতিবদ্ধ।
- ব্রোকেন এক্সেস কন্ট্রোল: অ্যাপ্লিকেশানগুলি কঠোর অনুমোদনের সীমানা প্রয়োগ করতে ব্যর্থ হয়, যার ফলে ব্যবহারকারীরা অন্যদের [S4]-এর সম্পদ অ্যাক্সেস করতে পারে৷
- অনুমতিমূলক ডেটাবেস নীতি: আধুনিক BaaS (ব্যাকএন্ড-এ-সার্ভিস) সেটআপে যেমন Supabase, সক্ষম করতে এবং সঠিকভাবে সারি স্তরের নিরাপত্তা কনফিগার করতে ব্যর্থ হয় (ZXCVFIXVIBETOKEN ডাটা খোলার জন্য Supabase) ক্লায়েন্ট-সাইড লাইব্রেরির মাধ্যমে শোষণ [S5]।
- দুর্বল টোকেন ব্যবস্থাপনা: প্রমাণীকরণ টোকেনগুলির অনুপযুক্ত পরিচালনার ফলে সেশন হাইজ্যাকিং বা অননুমোদিত API অ্যাক্সেস [S3] হতে পারে।
কংক্রিট ফিক্স
সারি স্তরের নিরাপত্তা প্রয়োগ করুন (RLS)
পোস্টগ্রেস-ভিত্তিক ব্যাকএন্ড যেমন Supabase, RLS ব্যবহার করা অ্যাপ্লিকেশনগুলির জন্য প্রতিটি টেবিলে সক্রিয় থাকতে হবে। RLS নিশ্চিত করে যে ডাটাবেস ইঞ্জিন নিজেই অ্যাক্সেসের সীমাবদ্ধতা প্রয়োগ করে, একজন ব্যবহারকারীকে অন্য ব্যবহারকারীর ডেটা জিজ্ঞাসা করতে বাধা দেয় এমনকি যদি তাদের কাছে বৈধ প্রমাণীকরণ টোকেন [S5] থাকে।
স্বয়ংক্রিয় গোপন স্ক্যানিং
API কী বা শংসাপত্র [S2]-এর মতো সংবেদনশীল শংসাপত্রগুলির পুশ সনাক্ত এবং ব্লক করতে উন্নয়ন কর্মপ্রবাহে গোপন স্ক্যানিংকে একীভূত করুন৷ যদি কোনো গোপন তথ্য ফাঁস হয়, তাহলে তা অবশ্যই প্রত্যাহার করতে হবে এবং অবিলম্বে ঘোরাতে হবে, কারণ এটিকে আপোসকৃত [S2] হিসাবে বিবেচনা করা উচিত।
কঠোর টোকেন অনুশীলন প্রয়োগ করুন
টোকেন নিরাপত্তার জন্য শিল্প মান অনুসরণ করুন, সেশন পরিচালনার জন্য নিরাপদ, HTTP-শুধু কুকি ব্যবহার করা এবং আক্রমণকারীদের দ্বারা পুনরায় ব্যবহার রোধ করার জন্য টোকেনগুলি প্রেরক-নিরোধিতা নিশ্চিত করা সহ [S3]।
সাধারণ ওয়েব নিরাপত্তা শিরোনাম প্রয়োগ করুন
সাধারণ ব্রাউজার-ভিত্তিক আক্রমণ [S1] প্রশমিত করতে অ্যাপ্লিকেশনটি মানক ওয়েব নিরাপত্তা ব্যবস্থা, যেমন বিষয়বস্তু নিরাপত্তা নীতি (CSP) এবং নিরাপদ পরিবহন প্রোটোকল প্রয়োগ করে তা নিশ্চিত করুন৷
কিভাবে FixVibe এর জন্য পরীক্ষা করে
FixVibe ইতিমধ্যেই একাধিক লাইভ স্ক্যান সারফেস জুড়ে এই ডেটা-লিক ক্লাসটি কভার করেছে:
- Supabase RLS এক্সপোজার:
baas.supabase-rlsএকই-অরিজিন বান্ডেল থেকে সার্বজনীন Supabase URL/অ্যান-কী জোড়া বের করে, পোস্ট করা ট্যাব-এক্স-এক্সপোস্ট-পঠিত হয় এবং এনউমারে পোস্ট করে বেনামী SELECT চেক করে নিশ্চিত করে যে টেবিলের ডেটা প্রকাশ করা হয়েছে কিনা। - রেপো RLS ফাঁক:
repo.supabase.missing-rlsপর্যালোচনাগুলি অনুমোদিত GitHub রিপোজিটরি SQL মাইগ্রেশনের জন্য পাবলিক টেবিলের জন্য যা একটি ম্যাচিংALTER TABLE ... ENABLE ROW LEVEL SECURITYমাইগ্রেশন ছাড়াই তৈরি করা হয়েছে৷ - Supabase স্টোরেজ ভঙ্গি:
baas.supabase-security-checklist-backfillগ্রাহকের ডেটা আপলোড বা পরিবর্তন না করে পাবলিক স্টোরেজ বাকেট মেটাডেটা এবং বেনামী তালিকা এক্সপোজার পর্যালোচনা করে। - গোপন এবং ব্রাউজারের ভঙ্গি:
secrets.js-bundle-sweep,headers.security-headers, এবংheaders.cookie-attributesপতাকা ফাঁস ক্লায়েন্ট-সাইড শংসাপত্র, অনুপস্থিত ব্রাউজার হার্ডনিং হেডার, এবং দুর্বল প্রমাণ-কুকি পতাকা। - গেটেড অ্যাক্সেস-কন্ট্রোল প্রোব: যখন গ্রাহক সক্রিয় স্ক্যান সক্ষম করে এবং ডোমেনের মালিকানা যাচাই করা হয়, তখন
active.idor-walkingএবংactive.tenant-isolationপরীক্ষা IDOR/BOLA-স্টাইল ক্রস-রিসোর্স এবং ক্রস-টেন্যান্ট ডেটা এক্সপোজারের জন্য রুটগুলি আবিষ্কার করে৷