Vplyv útočníka
Útočník môže získať neoprávnený prístup k citlivým užívateľským údajom, upraviť databázové záznamy alebo uniesť infraštruktúru využitím bežných prehliadok v nasadení MVP. To zahŕňa prístup k údajom medzi nájomníkmi v dôsledku chýbajúcich kontrol prístupu [S4] alebo používanie uniknutých kľúčov API na vznik nákladov a extrakciu údajov z integrovaných služieb [S2].
Hlavná príčina
V zhone so spustením MVP vývojári – najmä tí, ktorí používajú „kódovanie vibrácií“ pomocou AI – často prehliadajú základné bezpečnostné konfigurácie. Hlavnými príčinami týchto zraniteľností sú:
- Tajný únik: Poverenia, ako napríklad databázové reťazce alebo kľúče poskytovateľa AI, sú náhodne zverené do správy verzií [S2].
- Broken Access Control: Aplikáciám sa nedarí presadzovať prísne autorizačné hranice, čo používateľom umožňuje prístup k zdrojom patriacim iným [S4].
- Permisívne zásady databázy: V moderných nastaveniach BaaS (Backend-as-a-Service), ako je Supabase, neschopnosť povoliť a správne nakonfigurovať zabezpečenie na úrovni riadkov (RLS) ponecháva klientske knižnice otvorené priamo na strane klienta. [S5].
- Slabá správa tokenov: Nesprávne zaobchádzanie s overovacími tokenmi môže viesť k ukradnutiu relácie alebo neoprávnenému prístupu API [S3].
Opravy betónu
Implementujte zabezpečenie na úrovni riadkov (RLS)
Pre aplikácie používajúce backendy založené na Postgrese, ako je Supabase, musí byť RLS povolené na každej tabuľke. RLS zaisťuje, že samotný databázový stroj vynucuje obmedzenia prístupu, čím bráni používateľovi dotazovať sa na údaje iného používateľa, aj keď má platný autentifikačný token [S5].
Automatizujte tajné skenovanie
Integrujte tajné skenovanie do vývojového pracovného postupu, aby ste zistili a zablokovali vloženie citlivých poverení, ako sú kľúče API alebo certifikáty [S2]. Ak dôjde k úniku tajomstva, musí byť odvolané a okamžite otočené, pretože by sa malo považovať za napadnuté [S2].
Presadzujte prísne tokenové postupy
Dodržiavajte priemyselné štandardy pre bezpečnosť tokenov, vrátane používania zabezpečených súborov cookie iba HTTP na správu relácií a zaistite, aby tokeny boli obmedzené odosielateľom, ak je to možné, aby sa zabránilo opätovnému použitiu útočníkmi [S3].
Použiť hlavičky všeobecného zabezpečenia webu
Uistite sa, že aplikácia implementuje štandardné bezpečnostné opatrenia na webe, ako je napríklad politika zabezpečenia obsahu (CSP) a protokoly zabezpečeného prenosu, aby sa zmiernili bežné útoky založené na prehliadači [S1].
Ako to testuje FixVibe
FixVibe už pokrýva túto triedu úniku údajov na viacerých živých skenovacích plochách:
- Supabase RLS vystavenie:
baas.supabase-rlsextrahuje verejné Supabase páry URL/anon-key zo zväzkov s rovnakým pôvodom, potvrdí, či kontroly REST vykonajú kontroly SELECT, odkryté postg. údaje tabuľky sú vystavené. - Repo RLS medzery:
repo.supabase.missing-rlskontroluje autorizované migrácie SQL repozitára GitHub pre verejné tabuľky, ktoré sú vytvorené bez zodpovedajúcej migrácieALTER TABLE ... ENABLE ROW LEVEL SECURITY. - Supabase poloha úložiska:
baas.supabase-security-checklist-backfillkontroluje metadáta verejného segmentu úložiska a vystavenie anonymného záznamu bez nahrávania alebo zmeny údajov o zákazníkoch. - Tajomstvá a stav prehliadača: Príznaky
secrets.js-bundle-sweep,headers.security-headersaheaders.cookie-attributesunikli poverenia na strane klienta, chýbajú spevnené hlavičky prehliadača a slabé príznaky auth-cookie. - Gated access-control sondy: keď zákazník povolí aktívne skenovanie a overí sa vlastníctvo domény, test
active.idor-walkingaactive.tenant-isolationobjavil cesty pre krížové zdroje a vystavenie údajov medzi nájomníkmi v štýle IDOR/BOLA.
