סורק חוקי Firebase: מציאת חוקי Firestore, Realtime Database, ואחסון פתוחים

איך הסורק מוצא חוקי Firebase פתוחים

שירותי Firebase חושפים צורות URL ידועות וצפויות. סורק ללא הרשאות יכול לבחון כל אחד ולצפות אם קריאות אנונימיות מצליחות. בדיקת baas.firebase-rules של FixVibe רצה בשלוש בחינות עצמאיות — אחת לכל שירות Firebase:

• <strong>Firestore.</strong> The scanner extracts the project ID from the deployed app's bundle (it's in <code>firebase.initializeApp({ projectId: ... })</code>), then issues <code>GET https://firestore.googleapis.com/v1/projects/[project-id]/databases/(default)/documents/[collection]:listDocuments</code> against common collection names. A <code>200 OK</code> with documents in the response means <code>allow read</code> is permissive.
• Realtime Database. הסורק בוחן את https://[project-id]-default-rtdb.firebaseio.com/.json. אם השורש קריא אנונימית, התגובה היא עץ מסד הנתונים כולו כ-JSON. בדיקה שמרנית יותר שואלת את .json?shallow=true, שמחזירה רק מפתחות ברמה העליונה — ממצא בכל מקרה.
• Cloud Storage. הסורק שואל את https://firebasestorage.googleapis.com/v0/b/[project-id].appspot.com/o. אם התגובה מציגה שמות קבצים ללא אימות, הדלי ניתן לרישום אנונימי. אחסון הניתן לרישום הוא ממצא אפילו כשהורדות קבצים בודדות נשללות — תוקפים מונים את הדלי כדי למצוא שמות קבצים שאפשר לנחש.

איך הרגל-המוקש של מצב-הבדיקה באמת נראית

תיעוד ה-quickstart של Firebase כולל את אחד מבלוקי החוקים המועתקים ביותר באינטרנט:

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if true;
    }
  }
}

Firebase נהג להוסיף תפוגה אוטומטית של 30 ימים על החוקים האלה. זה השתנה: כיום החוקים נמשכים לעד אלא אם המפתח מחליף אותם. כלי קוד מבוססי-AI — שאומנו על שנים של תיעוד שכולל את בלוק מצב-הבדיקה — מנפיקים אותו לעיתים תכופות מילה במילה ואומרים למפתח "זה חוק האבטחה שלך". זה לא.

וריאציות אחרות שמופיעות בייצור אך מתירניות באותה מידה:

// future-date variant — equivalent to "if true"
allow read, write: if request.time < timestamp.date(2099, 1, 1);

// authenticated-user variant — any signed-in user reads and writes anything
allow read: if true;
allow write: if request.auth != null;

// any-auth variant — any signed-in user owns every document
allow read, write: if request.auth != null;

• וריאציית חותמת-זמן עתידית: חוק שמתיר הכל עד לתאריך רחוק בעתיד. למעשה אף פעם לא פוקע (ראה את הבלוק המודגש למעלה).
• allow read: if true; allow write: if request.auth != null; — קריאות ציבוריות, כל משתמש מאומת יכול לכתוב.
• allow read, write: if request.auth != null; — כל משתמש מחובר יכול לקרוא או לכתוב כל מסמך, כולל נתונים של משתמשים אחרים.

מה לעשות כשהסורק מוצא חוק פתוח

חוקי Firebase פתוחים הם חירום runtime. התיקון הוא באותה צורה על פני כל שלושת השירותים: צמצם כל חוק ל-request.auth.uid מול שדה בעלות מפורש. לכל שירות יש תחביר חוק משלו:

Firestore

match /users/{userId} { allow read, write: if request.auth != null && request.auth.uid == userId; }. קישור פלח-הנתיב {userId} הופך למסמך היחיד שהמשתמש יכול לגעת בו.

match /users/{userId} {
  allow read, write: if request.auth != null
                     && request.auth.uid == userId;
}

Realtime Database

<code>{ "rules": { "users": { "$uid": { ".read": "$uid === auth.uid", ".write": "$uid === auth.uid" } } } }</code>. The <code>$uid</code> wildcard captures the path segment for comparison.

{
  "rules": {
    "users": {
      "$uid": {
        ".read":  "$uid === auth.uid",
        ".write": "$uid === auth.uid"
      }
    }
  }
}

Cloud Storage

service firebase.storage { match /b/{bucket}/o { match /users/{userId}/{allPaths=**} { allow read, write: if request.auth.uid == userId; } } }. מוסכמה: אחסן קבצים תחת users/[uid]/[filename] ותן לנתיב לאכוף בעלות.

service firebase.storage {
  match /b/{bucket}/o {
    match /users/{userId}/{allPaths=**} {
      allow read, write: if request.auth.uid == userId;
    }
  }
}

פרוס חוקים דרך CLI של Firebase: firebase deploy --only firestore:rules, firebase deploy --only database, firebase deploy --only storage. אמת שהחוקים החדשים בייצור על-ידי הרצה מחדש של סריקת FixVibe — הממצא baas.firebase-rules אמור להיעלם.

firebase deploy --only firestore:rules
firebase deploy --only database
firebase deploy --only storage

איך זה משתווה לכלים המובנים של Firebase

קונסולת Firebase מראה לך את החוקים הנוכחיים אבל לא מבצעת audit להם מול התנהגות runtime. סימולטור חוקי Firebase מאפשר לך לבדוק לוגיקת חוקים מול בקשות סינתטיות — שימושי אבל מקומי. אף אחד מהכלים לא אומר לך מה החוקים שלך בייצור בעצם מחזירים לתוקף אנונימי באינטרנט הציבורי. סורק חיצוני כמו FixVibe (או Burp Suite עם תצורה ידנית) הוא הדבר היחיד שבוחן מאותה זווית שתוקף היה בוחן. App Check של Google עצמה מפחית התעללות אך לא מחליף חוקים מצומצמים נכון.

שאלות נפוצות

צעדים הבאים

הרץ סריקת FixVibe חינמית מול URL הייצור שלך — בדיקת baas.firebase-rules נשלחת בכל תוכנית ומסמנת חוקים פתוחים על פני Firestore, Realtime Database, ו-Cloud Storage. להסבר מעמיק יותר על הדפוס allow read, write: if true ספציפית, ראה Firebase allow read, write: if true מוסבר. לתצוגה מקיפה על פני Supabase, Firebase, Clerk ו-Auth0, קרא סורק תצורות שגויות של BaaS.