MVP ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨਾ: AI ਦੁਆਰਾ ਤਿਆਰ ਕੀਤੇ SaaS ਐਪਸ ਵਿੱਚ ਡੇਟਾ ਲੀਕ ਨੂੰ ਰੋਕਣਾ

ਹਮਲਾਵਰ ਪ੍ਰਭਾਵ

ਇੱਕ ਹਮਲਾਵਰ ਸੰਵੇਦਨਸ਼ੀਲ ਉਪਭੋਗਤਾ ਡੇਟਾ ਤੱਕ ਅਣਅਧਿਕਾਰਤ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦਾ ਹੈ, ਡੇਟਾਬੇਸ ਰਿਕਾਰਡਾਂ ਨੂੰ ਸੋਧ ਸਕਦਾ ਹੈ, ਜਾਂ MVP ਤੈਨਾਤੀਆਂ ਵਿੱਚ ਆਮ ਨਿਗਰਾਨੀ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਕੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਨੂੰ ਹਾਈਜੈਕ ਕਰ ਸਕਦਾ ਹੈ। ਇਸ ਵਿੱਚ ਗੁੰਮ ਐਕਸੈਸ ਨਿਯੰਤਰਣ [S4] ਜਾਂ ਲੀਕ ਹੋਈਆਂ API ਕੁੰਜੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰਨ ਅਤੇ ਏਕੀਕ੍ਰਿਤ ਸੇਵਾਵਾਂ [S2] ਤੋਂ ਡੇਟਾ ਨੂੰ ਬਾਹਰ ਕੱਢਣ ਲਈ ਕ੍ਰਾਸ-ਟੇਨੈਂਟ ਡੇਟਾ ਤੱਕ ਪਹੁੰਚ ਕਰਨਾ ਸ਼ਾਮਲ ਹੈ।

ਮੂਲ ਕਾਰਨ

ਇੱਕ MVP ਨੂੰ ਲਾਂਚ ਕਰਨ ਦੀ ਕਾਹਲੀ ਵਿੱਚ, ਡਿਵੈਲਪਰ - ਖਾਸ ਤੌਰ 'ਤੇ AI-ਸਹਾਇਕ "ਵਾਈਬ ਕੋਡਿੰਗ" ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਾਲੇ - ਅਕਸਰ ਬੁਨਿਆਦੀ ਸੁਰੱਖਿਆ ਸੰਰਚਨਾਵਾਂ ਨੂੰ ਨਜ਼ਰਅੰਦਾਜ਼ ਕਰਦੇ ਹਨ। ਇਹਨਾਂ ਕਮਜ਼ੋਰੀਆਂ ਦੇ ਪ੍ਰਾਇਮਰੀ ਡਰਾਈਵਰ ਹਨ:

ਗੁਪਤ ਲੀਕੇਜ: ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ, ਜਿਵੇਂ ਕਿ ਡੇਟਾਬੇਸ ਸਤਰ ਜਾਂ AI ਪ੍ਰਦਾਤਾ ਕੁੰਜੀਆਂ, ਗਲਤੀ ਨਾਲ [S2] ਸੰਸਕਰਣ ਨਿਯੰਤਰਣ ਲਈ ਵਚਨਬੱਧ ਹਨ।
ਬ੍ਰੋਕਨ ਐਕਸੈਸ ਕੰਟਰੋਲ: ਐਪਲੀਕੇਸ਼ਨਾਂ ਸਖਤ ਅਧਿਕਾਰ ਸੀਮਾਵਾਂ ਨੂੰ ਲਾਗੂ ਕਰਨ ਵਿੱਚ ਅਸਫਲ ਰਹਿੰਦੀਆਂ ਹਨ, ਜਿਸ ਨਾਲ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਹੋਰਾਂ [S4] ਨਾਲ ਸਬੰਧਤ ਸਰੋਤਾਂ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਮਿਲਦੀ ਹੈ।
ਅਨੁਕੂਲ ਡਾਟਾਬੇਸ ਨੀਤੀਆਂ: ਆਧੁਨਿਕ BaaS (ਬੈਕਐਂਡ-ਏ-ਏ-ਸਰਵਿਸ) ਸੈੱਟਅੱਪਾਂ ਜਿਵੇਂ ਕਿ Supabase, ਕਤਾਰ ਪੱਧਰ ਦੀ ਸੁਰੱਖਿਆ ਨੂੰ ਸਮਰੱਥ ਅਤੇ ਸਹੀ ਢੰਗ ਨਾਲ ਕੌਂਫਿਗਰ ਕਰਨ ਵਿੱਚ ਅਸਫਲ ਰਿਹਾ (ZXCVFIXVIBETOKEN 2 ਡਾਇਰੈਕਟ ਖੋਲ੍ਹਣ ਲਈ ZXCVFIXVIBETOKEN) ਕਲਾਇੰਟ-ਸਾਈਡ ਲਾਇਬ੍ਰੇਰੀਆਂ [S5] ਦੁਆਰਾ ਸ਼ੋਸ਼ਣ.
ਕਮਜ਼ੋਰ ਟੋਕਨ ਪ੍ਰਬੰਧਨ: ਪ੍ਰਮਾਣਿਕਤਾ ਟੋਕਨਾਂ ਦਾ ਗਲਤ ਪ੍ਰਬੰਧਨ ਸੈਸ਼ਨ ਹਾਈਜੈਕਿੰਗ ਜਾਂ ਅਣਅਧਿਕਾਰਤ API ਐਕਸੈਸ [S3] ਦਾ ਕਾਰਨ ਬਣ ਸਕਦਾ ਹੈ।

ਕੰਕਰੀਟ ਫਿਕਸ

ਕਤਾਰ ਪੱਧਰ ਸੁਰੱਖਿਆ ਨੂੰ ਲਾਗੂ ਕਰੋ (RLS)

Supabase, RLS ਵਰਗੇ Postgres-ਆਧਾਰਿਤ ਬੈਕਐਂਡ ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਾਲੀਆਂ ਐਪਲੀਕੇਸ਼ਨਾਂ ਲਈ ਹਰ ਟੇਬਲ 'ਤੇ ਯੋਗ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ। RLS ਇਹ ਸੁਨਿਸ਼ਚਿਤ ਕਰਦਾ ਹੈ ਕਿ ਡੇਟਾਬੇਸ ਇੰਜਣ ਖੁਦ ਪਹੁੰਚ ਦੀਆਂ ਰੁਕਾਵਟਾਂ ਨੂੰ ਲਾਗੂ ਕਰਦਾ ਹੈ, ਇੱਕ ਉਪਭੋਗਤਾ ਨੂੰ ਕਿਸੇ ਹੋਰ ਉਪਭੋਗਤਾ ਦੇ ਡੇਟਾ ਦੀ ਪੁੱਛਗਿੱਛ ਕਰਨ ਤੋਂ ਰੋਕਦਾ ਹੈ ਭਾਵੇਂ ਉਹਨਾਂ ਕੋਲ ਇੱਕ ਵੈਧ ਪ੍ਰਮਾਣਿਕਤਾ ਟੋਕਨ [S5] ਹੈ।

ਗੁਪਤ ਸਕੈਨਿੰਗ ਨੂੰ ਸਵੈਚਾਲਤ ਕਰੋ

API ਕੁੰਜੀਆਂ ਜਾਂ ਸਰਟੀਫਿਕੇਟ [S2] ਵਰਗੇ ਸੰਵੇਦਨਸ਼ੀਲ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਦਾ ਪਤਾ ਲਗਾਉਣ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਰੋਕਣ ਲਈ ਵਿਕਾਸ ਵਰਕਫਲੋ ਵਿੱਚ ਗੁਪਤ ਸਕੈਨਿੰਗ ਨੂੰ ਏਕੀਕ੍ਰਿਤ ਕਰੋ। ਜੇਕਰ ਕੋਈ ਰਾਜ਼ ਲੀਕ ਹੋ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਇਸਨੂੰ ਤੁਰੰਤ ਰੱਦ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ ਅਤੇ ਘੁੰਮਾਉਣਾ ਚਾਹੀਦਾ ਹੈ, ਕਿਉਂਕਿ ਇਸਨੂੰ [S2] ਸਮਝੌਤਾ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ।

ਸਖ਼ਤ ਟੋਕਨ ਅਭਿਆਸਾਂ ਨੂੰ ਲਾਗੂ ਕਰੋ

ਟੋਕਨ ਸੁਰੱਖਿਆ ਲਈ ਉਦਯੋਗਿਕ ਮਾਪਦੰਡਾਂ ਦੀ ਪਾਲਣਾ ਕਰੋ, ਜਿਸ ਵਿੱਚ ਸੈਸ਼ਨ ਪ੍ਰਬੰਧਨ ਲਈ ਸੁਰੱਖਿਅਤ, HTTP-ਸਿਰਫ ਕੂਕੀਜ਼ ਦੀ ਵਰਤੋਂ ਕਰਨਾ ਅਤੇ ਇਹ ਯਕੀਨੀ ਬਣਾਉਣਾ ਸ਼ਾਮਲ ਹੈ ਕਿ ਹਮਲਾਵਰ [S3] ਦੁਆਰਾ ਮੁੜ ਵਰਤੋਂ ਨੂੰ ਰੋਕਣ ਲਈ ਜਿੱਥੇ ਵੀ ਸੰਭਵ ਹੋਵੇ ਟੋਕਨ ਭੇਜਣ ਵਾਲੇ-ਸੀਮਤ ਹਨ।

ਜਨਰਲ ਵੈੱਬ ਸੁਰੱਖਿਆ ਸਿਰਲੇਖ ਲਾਗੂ ਕਰੋ

ਇਹ ਸੁਨਿਸ਼ਚਿਤ ਕਰੋ ਕਿ ਐਪਲੀਕੇਸ਼ਨ ਮਿਆਰੀ ਵੈੱਬ ਸੁਰੱਖਿਆ ਉਪਾਵਾਂ ਨੂੰ ਲਾਗੂ ਕਰਦੀ ਹੈ, ਜਿਵੇਂ ਕਿ ਸਮੱਗਰੀ ਸੁਰੱਖਿਆ ਨੀਤੀ (CSP) ਅਤੇ ਸੁਰੱਖਿਅਤ ਟ੍ਰਾਂਸਪੋਰਟ ਪ੍ਰੋਟੋਕੋਲ, ਆਮ ਬ੍ਰਾਊਜ਼ਰ-ਅਧਾਰਿਤ ਹਮਲਿਆਂ ਨੂੰ ਘਟਾਉਣ ਲਈ [S1]।

FixVibe ਇਸਦੇ ਲਈ ਕਿਵੇਂ ਟੈਸਟ ਕਰਦਾ ਹੈ

FixVibe ਪਹਿਲਾਂ ਹੀ ਕਈ ਲਾਈਵ ਸਕੈਨ ਸਤਹਾਂ ਵਿੱਚ ਇਸ ਡੇਟਾ-ਲੀਕ ਕਲਾਸ ਨੂੰ ਕਵਰ ਕਰਦਾ ਹੈ:

Supabase RLS ਐਕਸਪੋਜ਼ਰ: baas.supabase-rls ਸਮਾਨ-ਮੂਲ ਬੰਡਲਾਂ ਤੋਂ ਜਨਤਕ Supabase URL/anon-ਕੁੰਜੀ ਜੋੜਾਂ ਨੂੰ ਐਕਸਟਰੈਕਟ ਕਰਦਾ ਹੈ, ਪੋਸਟ-ਪੜ੍ਹੇ-ਪੜ੍ਹੇ ਗਏ ਟੈਬ-ਪੜ੍ਹੇ-ਪੜ੍ਹੇ-ਪੜ੍ਹੇ ਗਏ ਬੰਡਲ ਅਗਿਆਤ SELECT ਇਹ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ ਜਾਂਚ ਕਰਦਾ ਹੈ ਕਿ ਕੀ ਟੇਬਲ ਡੇਟਾ ਸਾਹਮਣੇ ਆਇਆ ਹੈ।
ਰੇਪੋ RLS ਗੈਪ: repo.supabase.missing-rls ਜਨਤਕ ਟੇਬਲਾਂ ਲਈ ਅਧਿਕਾਰਤ GitHub ਰਿਪੋਜ਼ਟਰੀ SQL ਮਾਈਗ੍ਰੇਸ਼ਨ ਦੀ ਸਮੀਖਿਆ ਕਰਦਾ ਹੈ ਜੋ ਮੇਲ ਖਾਂਦੇ ALTER TABLE ... ENABLE ROW LEVEL SECURITY migration ਤੋਂ ਬਿਨਾਂ ਬਣਾਏ ਗਏ ਹਨ।
Supabase ਸਟੋਰੇਜ ਸਥਿਤੀ: baas.supabase-security-checklist-backfill ਗਾਹਕ ਡੇਟਾ ਨੂੰ ਅਪਲੋਡ ਜਾਂ ਪਰਿਵਰਤਨ ਕੀਤੇ ਬਿਨਾਂ ਜਨਤਕ ਸਟੋਰੇਜ ਬਕੇਟ ਮੈਟਾਡੇਟਾ ਅਤੇ ਅਗਿਆਤ ਸੂਚੀ ਐਕਸਪੋਜ਼ਰ ਦੀ ਸਮੀਖਿਆ ਕਰਦਾ ਹੈ।
ਰਾਜ਼ ਅਤੇ ਬ੍ਰਾਊਜ਼ਰ ਆਸਣ: secrets.js-bundle-sweep, headers.security-headers, ਅਤੇ headers.cookie-attributes ਫਲੈਗ ਲੀਕ ਹੋਏ ਕਲਾਇੰਟ-ਸਾਈਡ ਕ੍ਰੇਡੈਂਸ਼ੀਅਲ, ਗੁੰਮ ਹੋਏ ਬ੍ਰਾਊਜ਼ਰ ਹਾਰਡਨਿੰਗ ਹੈਡਰ, ਅਤੇ ਕਮਜ਼ੋਰ ਪ੍ਰਮਾਣ-ਕੁਕੀ ਫਲੈਗ।
ਗੇਟਿਡ ਐਕਸੈਸ-ਕੰਟਰੋਲ ਪੜਤਾਲਾਂ: ਜਦੋਂ ਗਾਹਕ ਕਿਰਿਆਸ਼ੀਲ ਸਕੈਨ ਨੂੰ ਸਮਰੱਥ ਬਣਾਉਂਦਾ ਹੈ ਅਤੇ ਡੋਮੇਨ ਮਲਕੀਅਤ ਦੀ ਪੁਸ਼ਟੀ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, active.idor-walking ਅਤੇ active.tenant-isolation ਟੈਸਟ ਨੇ IDOR/BOLA-ਸ਼ੈਲੀ ਦੇ ਕਰਾਸ-ਸਰੋਤ ਅਤੇ ਕਰਾਸ-ਟੇਨੈਂਟ ਡੇਟਾ ਐਕਸਪੋਜ਼ਰ ਲਈ ਰੂਟਾਂ ਦੀ ਖੋਜ ਕੀਤੀ।