თავდამსხმელის გავლენა
თავდამსხმელს შეუძლია მოიპოვოს არასანქცირებული წვდომა მომხმარებლის მგრძნობიარე მონაცემებზე, შეცვალოს მონაცემთა ბაზის ჩანაწერები ან გაიტაცოს ინფრასტრუქტურა MVP-ის განლაგების საერთო ზედამხედველობის გამოყენებით. ეს მოიცავს ჯვარედინი დამქირავებელთა მონაცემებზე წვდომას [S4] წვდომის კონტროლის გამოტოვების გამო ან გაჟონილი API გასაღებების გამოყენებას ხარჯების გაწევის მიზნით და მონაცემთა ამოღება ინტეგრირებული სერვისებიდან [S2].
ძირეული მიზეზი
MVP-ის გაშვების სწრაფვაში, დეველოპერები - განსაკუთრებით ისინი, ვინც იყენებენ AI-ის დახმარებით "vibe კოდირებას" - ხშირად უგულებელყოფენ უსაფრთხოების ძირითად კონფიგურაციას. ამ დაუცველობის ძირითადი ფაქტორებია:
- საიდუმლო გაჟონვა: სერთიფიკატები, როგორიცაა მონაცემთა ბაზის სტრიქონები ან AI პროვაიდერის კლავიშები, შემთხვევით მიიღება [S2] ვერსიის კონტროლისთვის.
- Broken Access Control: აპლიკაციები ვერ ახორციელებენ ავტორიზაციის მკაცრ საზღვრებს, რაც მომხმარებლებს საშუალებას აძლევს წვდომა მიიღონ სხვა [S4] რესურსებზე.
- მონაცემთა ბაზის ნებადართული პოლიტიკა: თანამედროვე BaaS (Backend-as-a-Service) დაყენებებში, როგორიცაა Supabase, ვერ ხერხდება მწკრივის დონის უსაფრთხოების (ZXCV2FIXZVIBETOKEN) ჩართვა და სწორად კონფიგურაცია. კლიენტის მხარის ბიბლიოთეკები [S5].
- სუსტი ჟეტონების მართვა: ავტორიზაციის ჟეტონების არასწორმა მართვამ შეიძლება გამოიწვიოს სესიის გატაცება ან API არაავტორიზებული წვდომა [S3].
ბეტონის შესწორებები
მწკრივის დონის უსაფრთხოების დანერგვა (RLS)
აპლიკაციებისთვის, რომლებიც იყენებენ Postgres-ზე დაფუძნებულ backend-ებს, როგორიცაა Supabase, RLS უნდა იყოს ჩართული ყველა მაგიდაზე. RLS უზრუნველყოფს, რომ მონაცემთა ბაზის ძრავა თავად ახორციელებს წვდომის შეზღუდვებს, რაც ხელს უშლის მომხმარებელს სხვა მომხმარებლის მონაცემების მოთხოვნაზე, მაშინაც კი, თუ მათ აქვთ ავთენტიფიკაციის მოქმედი ჟეტონი [S5].
საიდუმლო სკანირების ავტომატიზაცია
შეიტანეთ საიდუმლო სკანირება განვითარების სამუშაო პროცესში, რათა აღმოაჩინოს და დაბლოკოს მგრძნობიარე რწმუნებათა სიგელები, როგორიცაა API კლავიშები ან სერთიფიკატები [S2]. თუ საიდუმლო გაჟონა, ის დაუყოვნებლივ უნდა გაუქმდეს და გადატრიალდეს, რადგან უნდა ჩაითვალოს კომპრომეტირებული [S2].
აღასრულეთ მკაცრი ნიშნების პრაქტიკა
დაიცავით სამრეწველო სტანდარტები ტოკენის უსაფრთხოებისთვის, მათ შორის უსაფრთხო, მხოლოდ HTTP ქუქიების გამოყენება სესიის მართვისთვის და იმის უზრუნველყოფა, რომ ტოკენები შეზღუდულია გამგზავნით, სადაც ეს შესაძლებელია, რათა თავიდან აიცილოთ თავდამსხმელების ხელახალი გამოყენება [S3].
გამოიყენეთ ზოგადი ვებ უსაფრთხოების სათაურები
დარწმუნდით, რომ აპლიკაცია ახორციელებს ვებ-უსაფრთხოების სტანდარტულ ზომებს, როგორიცაა კონტენტის უსაფრთხოების პოლიტიკა (CSP) და უსაფრთხო ტრანსპორტის პროტოკოლები, ბრაუზერზე დაფუძნებული საერთო შეტევების შესარბილებლად [S1].
როგორ ამოწმებს მას FixVibe
FixVibe უკვე მოიცავს მონაცემთა გაჟონვის ამ კლასს მრავალჯერადი ცოცხალი სკანირების ზედაპირზე:
- Supabase RLS ექსპოზიცია:
baas.supabase-rlsამოიღებს საჯარო Supabase URL/ანონ-გასაღების წყვილებს ერთიდაიგივე წარმოშობის პაკეტებიდან, პოსტონიმური შესრულებული ცხრილებიდან წაკითხული. SELECT ამოწმებს ცხრილის მონაცემების გამოვლენის დასადასტურებლად. - Repo RLS ხარვეზები:
repo.supabase.missing-rlsგანიხილავს უფლებამოსილ GitHub საცავში SQL მიგრაციას საჯარო ცხრილებისთვის, რომლებიც შექმნილია შესაბამისი ZXCVFIXVIBETOKEN1ZXC. - Supabase შენახვის პოზა :
baas.supabase-security-checklist-backfillგანიხილავს საჯარო შენახვის თაიგულის მეტამონაცემებს და ანონიმური ჩამონათვალის ექსპოზიციას კლიენტის მონაცემების ატვირთვის ან მუტაციის გარეშე. - საიდუმლოები და ბრაუზერის პოზა:
secrets.js-bundle-sweep,headers.security-headersდაheaders.cookie-attributesდროშით გაჟონა კლიენტის მხარის რწმუნებათა სიგელები, აკლია ბრაუზერის გამკვრივების სათაურები და სუსტი ქუქი-ფაილების დროშები. - გადასული წვდომის კონტროლის ზონდები: როდესაც მომხმარებელი ჩართავს აქტიურ სკანირებას და დომენის მფლობელობა დადასტურებულია,
active.idor-walkingდაactive.tenant-isolationტესტმა აღმოაჩინა მარშრუტები IDOR/BOLA-ს სტილის ჯვარედინი რესურსებისა და ჯვარედინი მოიჯარეების მონაცემთა ექსპოზიციისთვის.