BaaS қате конфигурациясының сканері: пайдаланушылардан бұрын жалпыға ортақ деректер жолдарын табу

BaaS қате конфигурацияларының неліктен қайталанатын пішіні бар

Әр BaaS платформасы бірдей архитектураға сүйенеді: басқарылатын бэкенд және браузерден онымен сөйлесетін жұқа клиент SDK. Браузерге бағытталған клиентке бэкендке өзін идентификациялау үшін қандай да бір тіркелгі деректері — anon кілті, жариялау кілті, Firebase жоба идентификаторы — қажет. Бұл тіркелгі деректерi әдейі жалпыға ортақ; архитектураның қауіпсіздігі платформа деңгейіндегі қол жеткізу басқаруларының (RLS, ережелер, ақ тізімдер) өз жұмысын орындауына негізделген.

ИИ кодтау құралдары осы архитектураның үстіне платформа-басқару қабатын ішкі қабылдамай құрады. Олар клиент SDK-ны дұрыс қосады, платформаның әдепкі рұқсат беруші ережелерін қабылдайды (олар оқулық-достық үшін бар) және жібереді. Қайталанатын пішін: жалпыға ортақ тіркелгі деректері + рұқсат беруші әдепкі ереже + жоқ қайта анықтау = деректердің ашылуы. Төмендегі бес қате конфигурация класы — осы пішіннің барлық нұсқалары.

Бес қайталанатын қате конфигурация класы

Бұлар әр BaaS провайдерінде пайда болады. Толық сканерлеу пайдаланылатын әр провайдерге қарсы бесеуін де қамтиды:

1-класс: Браузер бумасында қате кілт

Браузер жалпыға ортақ/anon баламасының орнына құпия/әкімші кілтін (Supabase service_role, Firebase Admin SDK жеке кілті, Clerk sk_*, Auth0 клиент құпиясы) жібереді. Браузер шектелмеген әкімші клиентіне айналады. FixVibe-тің bundle-secrets тексеруі бұны қамтиды.

2-класс: Қол жеткізу-басқару қабаты өшірілген немесе рұқсат беруші

RLS өшірулі, Firebase ережелері if true, Auth0 кері шақыру тізімі джокермен. Браузердегі тіркелгі деректер дұрыс — бірақ оны шектеуге арналған платформа деңгейіндегі шекара өз жұмысын істемейді.

3-класс: Сезімтал ресурстарды анонимді оқу

Anon-оқылатын Firestore жинақтары, anon-тізілетін Supabase сақтау шелектері, anon-қолжетімді Auth0 басқару API. Сканерлеу: "тіркелгі деректерсіз не оқи аламын?" деп сұрайды.

4-класс: Өндірістегі тест-режим артефактілері

Өндіріс орналастыруында тест кілттері (pk_test_*, sb_test_*); тірі доменнен қол жетімді дев-режим Firebase қолданбалары; өндіріске қарағанда әлсіз параметрлері бар тест-жалгер Auth0 қолданбалары. Сканер орындалу уақыты кілттерін күтілген өндіріс префикстерімен салыстырады.

5-класс: Вебхук қолтаңбасын тексеру жоқ

Clerk вебхуктары, Stripe вебхуктары, Supabase вебхуктары — барлығы өз пайдалы жүктерін қол қояды. Қолтаңбаны тексермейтін өңдеуші URL-ді болжайтын кез келген шабуылдаушы үшін дерекқор-жазу примитиві. Жауап пішіні арқылы анықталады — қол қойылмаған сұрау 200 алса, тексеру өткізілгенін білдіреді.

FixVibe шатыр BaaS сканерлеуі қалай жұмыс істейді

FixVibe-тің BaaS кезеңі әрқайсысы бөлек табылған нәтижелерді шығаратын үш кезеңде орындалады:

1. <strong>Stage 1 — provider fingerprinting.</strong> The scanner crawls the deployed app, parses every JavaScript chunk, and identifies which BaaS providers the app uses. Each provider has a distinctive runtime signature: Supabase uses <code>*.supabase.co</code>; Firebase uses <code>firebase.initializeApp({ projectId: ... })</code>; Clerk uses <code>pk_*</code> keys with a known prefix; Auth0 uses <code>clientId</code> and <code>domain</code>. The scanner records which providers are present and extracts the project identifiers.
2. 2-кезең — провайдерге арналған зерттеулер. Анықталған әр провайдер үшін сканер провайдерге арналған тексеруді орындайды: baas.supabase-rls PostgREST-ті зерттейді; baas.firebase-rules Firestore + RTDB + Storage-ты зерттейді; baas.clerk-auth0 бумалы кілттердің префиксін тексереді; bundle-secrets тексеруі service-деңгейлі тіркелгі деректерінің ағылмағанын тексереді. Әр зерттеу тәуелсіз орындалады — Supabase табылған нәтижесі Firebase сканерлеуін бөгемейді.
3. 3-кезең — кросс-провайдер корреляциясы. Сканер табылған нәтижелерді сілтемелейді. Жоқ RLS-пен қатар ағып кеткен Supabase service-role кілті — кез келген табылған нәтижеден жалғыз ауыр; есеп бұны көрсетеді. Сол қолданбада бірнеше идентификация провайдерлерінің (Clerk + Auth0 + арнайы аутентификация) болуы — қарап шығу үшін белгіленген құрылымдық нәтиже.

Әр зерттеу — пассивті: әр ресурсқа ең көбі бір анонимді оқу, жауап пішіні жазылып, жол мазмұны ешқашан парақталмайды немесе сақталмайды. Жазу және өзгерту зерттеулері расталған домен иелігіне байланысты — олар ешқашан расталмаған нысандарға қарсы орындалмайды.

Сканер провайдер бойынша не табады

Әр BaaS провайдерінде әр түрлі бет және әр түрлі сканерлеу стратегиясы бар. Не қамтылады:

• Supabase: кестелерде жоқ RLS, anon-тізілетін сақтау шелектері, бумада ағып кеткен service_role JWT немесе sb_secret_* кілті, анонимді OpenAPI тізімдеу арқылы ашылған схемалар. Supabase RLS сканері және Сақтау тізімі қараңыз.
• Firebase: Firestore, Realtime Database және Cloud Storage-та if true ережелері; anon-тізілетін Storage шелектері; жоқ App Check мәжбүрлеуі. Firebase ережелері сканері және If-true ереже түсіндіруі қараңыз.
• Clerk: бумалы sk_* құпия кілттері, өндірісте pk_test_*, жоқ вебхук қолтаңбасын тексеру, джокер рұқсат етілген шығу тегі. Clerk тізімі қараңыз.
• Auth0: бумалы клиент құпиялары, қосылған Implicit беруі, джокер кері шақыру / шығу URL-дері, SPA-ларда жоқ PKCE. Auth0 тізімі қараңыз.

BaaS сканерін жалпы DAST және SAST құралдарымен қалай салыстыруға болады

BaaS-білетін сканер басқа құралдар орындамайтын белгілі бір жұмысты жасайды. Салыстыру:

Шынайы ауқым: бұл сканер нені алмастырмайды

BaaS-білетін DAST сканер — шоғырланған құрал, толық қауіпсіздік бағдарламасы емес. Ол:

• SAST немесе SCA-ны алмастырмайды. Статикалық талдау DAST сканер таба алмайтын тәуелділік CVE-лерін (Snyk, Semgrep) және код деңгейіндегі осалдықтарды (SonarQube) табады. Екеуін де іске қосыңыз.
• Қолмен ену тестін алмастырмайды. Адам пентестері бизнес-логика кемшіліктерін, авторизация шеткі жағдайларын және ешбір сканер таба алмайтын тізбекті осалдықтарды табады. Ірі іске қосу немесе сәйкестік аудитіне дейін пентестерді жалдаңыз.
• Кодыңызды немесе репозиторийіңізді git тарихындағы құпиялар үшін аудит жасамайды. Bundle-secrets тексеруі қазіргі уақытта орналастырылғанды қамтиды, тарихи фиксацияланғанды емес. Репозиторий гигиенасы үшін git-secrets немесе gitleaks пайдаланыңыз.
• BaaS-емес бэкенд қызметтерін қамтымайды. Қолданбаңыз арнайы бэкендті (Express, Rails, Django, FastAPI) пайдаланса, FixVibe оның HTTP бетін сканерлейді, бірақ артындағы дерекқорды немесе инфрақұрылымды зерттемейді. Бұл — жалпы DAST + SAST аумағы.

Жиі қойылатын сұрақтар

Келесі қадамдар

Өндіріс URL мекенжайыңызға қарсы тегін FixVibe сканерлеуін іске қосыңыз — BaaS-кезеңі тексерулері тегін деңгейді қоса алғанда әр жоспарда жіберіледі. Провайдерге арналған терең зерттеулер үшін бұл бөлімдегі жеке мақалалар әр провайдерді егжей-тегжейлі қамтиды: Supabase RLS, Supabase сервис-кілтінің ашылуы, Supabase сақтау, Firebase ережелері, Firebase if-true, Clerk және Auth0.