BaaS väärseadistuse skanner: leia avalikud andmerajad enne kasutajaid

Miks BaaS väärseadistustel on korduv kuju

Iga BaaS-platvorm järgib sama arhitektuuri: hallatud backend ohukliendi-SDK-ga, mis brauserist sellega räägib. Brauserile suunatud klient vajab mingit mandaati — anon-võti, avaldatav võti, Firebase'i projekti ID — et end backendile tutvustada. See mandaat on tahtlikult avalik; arhitektuuri turvalisus tugineb sellele, et platvormi-tasandi juurdepääsukontroll (RLS, reeglid, allowlistid) oma tööd teeb.

AI-koodimistööriistad ehitavad selle arhitektuuri peale ilma platvormi-kontrolli kihti omaks võtmata. Nad ühendavad klient-SDK õigesti, võtavad vastu platvormi vaikimisi lubavad reeglid (mis eksisteerivad õppe-sõbralikkuse pärast) ja juurutavad. Korduv kuju on: avalik mandaat + lubav vaikereegel + puuduv ülekirjutus = andmete paljastus. Allpool olevad viis väärseadistuste klassi on kõik selle kuju variandid.

Viis korduvat väärseadistuste klassi

Need esinevad iga BaaS-pakkuja juures. Täielik skannimine katab kõik viis kasutusel oleva iga pakkuja vastu:

Klass 1: Vale võti brauseripakis

Brauser tarnitakse saladuse / administraatori võtmega (Supabase service_role, Firebase Admin SDK privaatvõti, Clerk sk_*, Auth0 kliendi-saladus) avaliku / anon ekvivalendi asemel. Brauserist saab piiramata administraatori-klient. Kaetud FixVibe bundle-secrets-kontrolliga.

Klass 2: Juurdepääsukontrolli kiht välja lülitatud või lubav

RLS on väljas, Firebase reeglid on if true, Auth0 callback-loend on metasümboliga. Mandaat brauseris on õige — kuid platvormi-tasandi piirang, mis pidi seda piirama, ei tee oma tööd.

Klass 3: Anonüümsed lugemised tundlikest ressurssidest

Anon-loetavad Firestore kollektsioonid, anon-loendatavad Supabase salvestuskonteinerid, anon-juurdepääsetav Auth0 Management API. Skannimine küsib: "mandaate ei ole, mida ma lugeda saan?"

Klass 4: Test-mode'i artefaktid tootmises

Test-võtmed (pk_test_*, sb_test_*) tootmise juurutuses; dev-mode Firebase'i rakendused jõudvalt elavast domeenist; test-rentniku Auth0 rakendused nõrgemate seadetega kui tootmises. Skannimine võrdleb käitusaja võtmeid eeldatud tootmise eesliidetega.

Klass 5: Webhooki allkirja kontroll puudub

Clerki webhookid, Stripe'i webhookid, Supabase'i webhookid kõik allkirjastavad oma kasulikke koormusi. Käsitleja, mis allkirja ei kontrolli, on andmebaasi-kirjutamise primitiiv igale ründajale, kes URL-i ära arvab. Tuvastatakse vastuse kuju kaudu — allkirjastamata päring, mis saab 200, tähendab, et kontroll on vahele jäetud.

Kuidas FixVibe üldine BaaS-skannimine töötab

FixVibe BaaS-faas töötab kolmes etapis, igaüks toodab erinevaid leide:

1. <strong>Stage 1 — provider fingerprinting.</strong> The scanner crawls the deployed app, parses every JavaScript chunk, and identifies which BaaS providers the app uses. Each provider has a distinctive runtime signature: Supabase uses <code>*.supabase.co</code>; Firebase uses <code>firebase.initializeApp({ projectId: ... })</code>; Clerk uses <code>pk_*</code> keys with a known prefix; Auth0 uses <code>clientId</code> and <code>domain</code>. The scanner records which providers are present and extracts the project identifiers.
2. Etapp 2 — pakkuja-spetsiifilised sondid. Iga tuvastatud pakkuja jaoks käivitab skanner pakkuja-spetsiifilise kontrolli: baas.supabase-rls sondeerib PostgRESTi; baas.firebase-rules sondeerib Firestore + RTDB + Storage'i; baas.clerk-auth0 valideerib paki sisse jätkatud võtmete eesliite; bundle-secrets-kontroll valideerib, et ühtegi service-tasemel mandaati ei ole lekkinud. Iga sond töötab iseseisvalt — Supabase leid ei blokeeri Firebase'i skannimist.
3. Etapp 3 — risti-pakkuja korrelatsioon. Skanner ristviitestab leide. Lekkinud Supabase service-role'i võti koos puuduva RLS-iga on tõsisem kui kumbki leid eraldi — aruanne tõstab selle esile. Mitmed identiteedi-pakkujad (Clerk + Auth0 + kohandatud auth) samas rakenduses on struktuurne leid, mis on märgitud ülevaateks.

Iga sond on passiivne: ressursi kohta kõige rohkem üks anonüümne lugemine, kus vastuse kuju on salvestatud, kuid rea-sisu pole kunagi lehekülgendatud ega salvestatud. Kirjutus- ja muutmissondid on piiratud kinnitatud domeeniomandi taha — neid ei käivitata kunagi kinnitamata sihtmärkide vastu.

Mida skanner pakkuja kohta leiab

Igal BaaS-pakkujal on erinev pind ja erinev skannimise strateegia. Siin on kaetud:

• Supabase: puuduv RLS tabelitel, anon-loendatavad salvestuskonteinerid, lekkinud service_role-JWT või sb_secret_*-võti pakis, paljastunud skeemid anonüümse OpenAPI loetelu kaudu. Vaata Supabase RLS-skanner ja Salvestuse kontrollnimekiri.
• Firebase: if true-reeglid Firestoreis, Realtime Database'is ja Cloud Storage'is; anon-loendatavad Storage konteinerid; puuduv App Check'i jõustamine. Vaata Firebase reeglite skanner ja If-true reegli selgitaja.
• Clerk: paki sisse jätkatud sk_*-saladusvõtmed, pk_test_* tootmises, puuduv webhooki allkirja kontroll, metasümboliga lubatud originid. Vaata Clerki kontrollnimekiri.
• Auth0: paki sisse jätkatud kliendi-saladused, Implicit grant lubatud, metasümbolitega callback / logout URL-id, puuduv PKCE SPA-del. Vaata Auth0 kontrollnimekiri.

Kuidas BaaS-skanner võrdleb üldiste DAST ja SAST-tööriistadega

BaaS-teadlik skanner teeb spetsiifilist tööd, mida teised tööriistad ei tee. Võrdlus:

Aus skoobi: mida see skanner ei asenda

BaaS-teadlik DAST-skanner on sihitud tööriist, mitte täielik turvaprogramm. See ei:

• Asenda SAST-i ega SCA-d. Staatiline analüüs leiab sõltuvuste CVE-d (Snyk, Semgrep) ja koodi-tasemel haavatavusi (SonarQube), mida DAST-skanner ei suuda. Käivita mõlemad.
• Asenda käsitsi tehtud läbistustestimist. Inimene-pentester leiab ärlilooduslikud vead, autoriseerimise serva-juhtumid ja aheldatud haavatavused, mida ükski skanner ei suuda. Palka pentester enne suuremat lansseerimist või vastavusauditi.
• Auditeeri koodi või repot saladuste suhtes giti ajaloos. Bundle-secrets-kontroll katab seda, mis on praegu juurutatud, mitte seda, mis ajalooliselt kommititud on. Kasuta repo hügieeni jaoks git-secrets-i või gitleaks-i.
• Kata mitte-BaaS-i tagaserveri-teenused. Kui sinu rakendus kasutab kohandatud tagaserverit (Express, Rails, Django, FastAPI), skannib FixVibe selle HTTP-pinda, kuid ei sondeeri selle taga olevat andmebaasi ega infrastruktuuri. See on üldine DAST + SAST territoorium.

Korduma kippuvad küsimused

Järgmised sammud

Käivita tasuta FixVibe-skannimine oma tootmise URL-i vastu — BaaS-faasi kontrollid tarnitakse igas plaanis, sealhulgas tasuta tasemel. Pakkuja-spetsiifiliste süvauurimiste jaoks katavad selle jaotise üksikud artiklid iga pakkujat detailselt: Supabase RLS, Supabase service-võtme paljastus, Supabase salvestus, Firebase reeglid, Firebase if-true, Clerk ja Auth0.