Firebase Le regole di sicurezza forniscono un meccanismo granulare applicato dal server per proteggere i dati in Firestore, Realtime Database e Cloud Storage [S1]. Poiché le applicazioni Firebase spesso interagiscono con questi servizi cloud direttamente dal lato client, queste regole rappresentano l'unica barriera che impedisce l'accesso non autorizzato ai dati di backend [S1].
Impatto delle regole permissive
Le regole configurate in modo errato possono portare a una significativa esposizione dei dati [S2]. Se le regole sono impostate per essere eccessivamente permissive, ad esempio utilizzando le impostazioni predefinite della "modalità test" che consentono l'accesso globale, qualsiasi utente con conoscenza dell'ID progetto può leggere, modificare o eliminare l'intero contenuto del database [S2]. Ciò ignora tutte le misure di sicurezza lato client e può comportare la perdita di informazioni sensibili dell'utente o l'interruzione totale del servizio [S2].
Causa principale: logica di autorizzazione insufficiente
La causa principale di queste vulnerabilità è in genere la mancata implementazione di condizioni specifiche che limitano l'accesso in base all'identità dell'utente o agli attributi della risorsa [S3]. Gli sviluppatori spesso lasciano attive le configurazioni predefinite negli ambienti di produzione che non convalidano l'oggetto request.auth [S3]. Senza valutare request.auth, il sistema non è in grado di distinguere tra un utente legittimo autenticato e un richiedente anonimo [S3].
Risanamento tecnico
Per proteggere un ambiente Firebase è necessario passare dall'accesso aperto a un modello basato sul privilegio minimo.
- Applica autenticazione: assicurati che tutti i percorsi sensibili richiedano una sessione utente valida controllando se l'oggetto
request.authnon è null [S3]. - Implementa l'accesso basato sull'identità: configura regole che confrontano l'UID dell'utente (
request.auth.uid) con un campo all'interno del documento o con l'ID del documento stesso per garantire che gli utenti possano accedere solo ai propri dati [S3]. - Ambito granulare delle autorizzazioni: evita i caratteri jolly globali per le raccolte. Definire invece regole specifiche per ciascuna raccolta e sottoraccolta per ridurre al minimo la potenziale superficie di attacco [S2].
- Convalida tramite Emulator Suite: utilizzare Firebase Emulator Suite per testare le regole di sicurezza localmente. Ciò consente la verifica della logica di controllo degli accessi rispetto a vari utenti prima della distribuzione in un ambiente live [S2].
Come lo esegue il test FixVibe
FixVibe ora lo include come scansione BaaS di sola lettura. baas.firebase-rules estrae la configurazione Firebase da bundle JavaScript della stessa origine, incluse le moderne forme di bundle initializeApp(...), quindi controlla Realtime Database, Firestore e Firebase Storage con richieste di sola lettura non autenticate. Per Firestore, prova prima l'elenco della raccolta root; quando l'elenco è bloccato, esamina anche i nomi di raccolte sensibili comuni come users, accounts, customers, orders, payments, messages, admin e settings. Segnala solo le letture o gli elenchi anonimi riusciti e non scrive, elimina o archivia il contenuto dei documenti del cliente.