Home
Công nghệ thông tin
An ninh, bảo mật
Các lỗi bảo mật cơ bản trong Rails thường gặp trong thực tế
Các lỗi bảo mật cơ bản trong Rails thường gặp trong thực tế
5 l i b o m t c b n trong Rails app hay g p trong th c tỗ ả ậ ơ ả ặ ự ế
1. Thi u th i gian h t h n c a sessionế ờ ế ạ ủ
Nh trongư Securing Rails Applications ta bi t session hay còn g i là phiên ế ọ
làm vi c:ệ
Sessions that never expire extend the time-frame for attacks such as cross-site
request forgery (CSRF), session hijacking and session fixation.
t m d ch làạ ị
Sessions s không bao gi h t h n s làm tăng th i gian cho các cu c t n ẽ ờ ế ạ ẽ ờ ộ ấ
công nh CSRF, session hijacking và session fixationư
M c dù, m t phiên không h t h n d ng nh phù h p v i quan đi m c a ặ ộ ế ạ ườ ư ợ ớ ể ủ
ng i dùng (b i vì ng i dùng s trong tr ng thái đ c đăng nh p mãi, ườ ở ườ ẽ ở ạ ượ ậ
và s không c n ph i đăng nh p l i m i khi m l i ng d ng), nh ng đó ẽ ầ ả ậ ạ ỗ ở ạ ứ ụ ư
là m t quan đi m r t t i t . Đi u đó s d n t i nguy c có ai đó s l y ộ ể ấ ồ ệ ề ẽ ẫ ớ ơ ẽ ấ
tr m session c a user đ y, b i vì có m t tr ng h p nào đó, user đã quên ộ ủ ấ ở ộ ườ ợ
đăng xu t kh i máy tính m t n i công c ng nh 1 quán net ch ng h n, ấ ở ở ộ ơ ộ ư ẳ ạ
do đó, session nên cài đ t th i gian h t h n.ặ ờ ế ạ
Gi i phápả
Cách đ n gi n nh t là cài đ t th i gian h t h n cho session trong initializer ơ ả ấ ặ ờ ế ạ
c aủ config/initializers/session_store.rb
Rails.application.config.session_store :cookie_store, expire_after: 12.hours
V i config trên, session cookie s t đ ng h t h n trong 12 gi sau khi t o.ớ ẽ ự ộ ế ạ ờ ạ
Tuy nhiên, ph ng pháp này có m t l h ng, đó là th i gian h t h n đ c ươ ộ ỗ ổ ờ ế ạ ượ
cài đ t browser c a user. Khi đó, n u có ai đó chi m quy n ki m soát ặ ở ủ ế ế ề ể
session cookie thì có th d dàng tăng th i gian h t h n b ng cách ch nh ể ễ ờ ế ạ ằ ỉ
s a cookie.ử
Đ gi i quy t v n đ trên, th i gian h t h n nên đ c l u l i trên server.ể ả ế ấ ề ờ ế ạ ượ ư ạ
N u b n dùng gem devise cho xác th c user, thì trong gem đó đã xây d ng ế ạ ự ự
module Timeoutable dùng cho xác đ nh m t phiên làm vi c c a user đã ị ộ ệ ủ
đ c h t h n hay ch a. Đ s d ng nó, b n c n ph i include trong m t ượ ế ạ ư ể ử ụ ạ ầ ả ộ
model user:
class User < ActiveRecord::Base
devise :timeoutable
end
Sau đó, b n có th cài đ t optionạ ể ặ timeout_in trong initializer c a gem ủ
devise, m c đ nh là 30 phútặ ị
# ==> Configuration for :timeoutable
# The time you want to timeout the user session without activity.
# After this time the user will be asked for credentials again.
# Default is 30 minutes.
config.timeout_in = 30.minutes
M t cách khác là n u b n không thích dùng gem, b n có th t o model ộ ế ạ ạ ể ạ
Session đ l u l i session c a user v i th i gian created_at và updated_at, ể ư ạ ủ ớ ờ
khi s d ng, chúng ta s lo i b các record đã h t h n.ử ụ ẽ ạ ỏ ế ạ
2. Thi u c ch khoá h th ngế ơ ế ệ ố
M t user có th c g ng đăng nh p vào h th ng bao nhiêu l n tr c khi ộ ể ố ắ ậ ệ ố ầ ướ
b ch n? N u h th ng c a b n là không gi i h n, đi u đó nghĩa là b n có ị ặ ế ệ ố ủ ạ ớ ạ ề ạ
m t l h ng b o m t l n. N u m t user có th c g ng k t h p nhi u ộ ỗ ổ ả ậ ớ ế ộ ể ố ắ ế ợ ề
email và password mà không có m t s ngăn ch n gì, nghĩa là m t cu c t nộ ự ặ ộ ộ ấ
công có th x y ra. Có th là m t cu c t n công brute-force ho c ể ả ể ộ ộ ấ ặ
dictionary
T n công Brute-force là c g ng th k t h p t t c các kh năng có th . ấ ố ắ ử ế ợ ấ ả ả ể
T n công Dictionary là cu c t n công g i ý d a vào m t t p danh sách các ấ ộ ấ ợ ự ộ ậ
g i ý ph bi n, g n nh t v i m t kh u c a user.ợ ổ ế ầ ấ ớ ậ ẩ ủ
Gi i phápả
Đ s a ch a v n đ này, user nên b khoá sau khi cung c p m t t p các k tể ử ữ ấ ề ị ấ ộ ậ ế
h p không đúng các user name ho c email và m t kh u trong m t s l n ợ ặ ậ ẩ ộ ố ầ
c th .ụ ể
N u b n s d ng gem devise, gi i pháp cũng đ n gi n nh v n đ th ế ạ ử ụ ả ơ ả ư ấ ề ứ
nh t. Có m t model Lockable cho phép ch n truy c p đ n m t user sau khi ấ ộ ặ ậ ế ộ
có m t s l n c g ng truy c p không thành công. S l n đó có th đ c ộ ố ầ ố ắ ậ ố ầ ể ượ
cài đ t b i h th ng, nh ng 5 th ng là con s phù h p.ặ ở ệ ố ư ườ ố ợ
Module cung c p 2 chi n l c m khoá:ấ ế ượ ở
:time s m khoá user t đ ng sau m t kho ng th i gian đ c cài ẽ ở ự ộ ộ ả ờ ượ
đ t.ặ
:email s g i m t email t i user khi tài kho n b khoá, ch a m t link ẽ ử ộ ớ ả ị ư ộ
đ m l i tài kho n.ể ở ạ ả
M i m t cách có u nh c đi m riêng, nh ng quy t đ nh là d a vào b n, ỗ ộ ư ượ ể ư ế ị ự ạ
gem devise đã cung c p c 2 cách này.ấ ả
Ngoài ra , n u b n không s d ng gem, b n có th th c hi n m t gi i ế ạ ử ụ ạ ể ự ệ ộ ả
pháp đ n gi n h n, vd có th dùng captcha ch ng h nơ ả ơ ể ẳ ạ
3. Li t kê, g i ý đ a ch emailệ ợ ị ỉ
Đó không ph i là m t v n đ nghiêm tr ng. B n th vào h th ng c a ả ộ ấ ề ọ ạ ử ệ ố ủ
b n, chuy n đ n trang reset password. Đi u gì s x y ra n u b n cung c p ạ ể ế ề ẽ ả ế ạ ấ
m t email không liên quan gì đ n user c a h th ng?ộ ế ủ ệ ố
Hi v ng đó không tr v m t l i validate c a user v i m t thông báo là đ a ọ ả ề ộ ỗ ủ ớ ộ ị
ch email không t n t i. B i vì, đó có th d n đ n m t cu c t n công, nó ỉ ồ ạ ở ể ẫ ế ộ ộ ấ
giúp k t n công có th thu th p danh sách email t n t i trong h th ng.ẻ ấ ể ậ ồ ạ ệ ố
Hacker có th s d ng m t script t o ra hàng tri u request v i t p các đ a ể ử ụ ộ ạ ệ ớ ậ ị
ch email và d a theo các ph n h i c a h th ng đ xác đ nh email nào t n ỉ ự ả ồ ủ ệ ố ể ị ồ
t i. Tuy nhiên, b n có th ch n đ ng cách th c t n công này b ng cách ạ ạ ể ặ ứ ứ ấ ằ
khoá user nh ph ng pháp trên.ư ở ươ
Gi i phápả
M t ng d ng nên ph n h i gi ng nhau khi m t user cung c p đ a ch ộ ứ ụ ả ồ ố ộ ấ ị ỉ
email cho m t user trong h th ng. Nh v y, k t n công s không th thu ộ ệ ố ờ ậ ẻ ấ ẽ ể
th p đ c các đ a ch email c a user.ậ ượ ị ỉ ủ
N u b n s d ng gem devise, thì có m t config g i làế ạ ử ụ ộ ọ paranoid v i h ng ớ ướ
d n trong tài li u làẫ ệ
It will change confirmation, password recovery and other workflows to
behave the same regardless if the e-mail provided was right or wrong.
t m d chạ ị
Nó s thay đ i xác nh n, khôi ph c m t kh u và các quy trình công vi c ẽ ổ ậ ụ ậ ẩ ệ
khác đ ho t đ ng gi ng nhau b t k email đ c cung c p là đúng hay sai.ể ạ ộ ố ấ ể ượ ấ
Ho c n u b n không s d ng devise, b n nên đi u ch nh ng d ng c a ặ ế ạ ử ụ ạ ề ỉ ứ ụ ủ
b n đ tr v gi ng nhau n u m t user cung c p đ a ch email b saiạ ể ả ề ố ế ộ ấ ị ỉ ị
4. V t quy n, truy c p trái phép vào tài nguyênượ ề ậ
Đ y là m t l i r t c b n, không nên có , nh ng cũng d x y ra n u ta ấ ộ ỗ ấ ơ ả ư ễ ả ế
không c n th n. Gi s b n t o m t API m i, tr v các user trong project ẩ ậ ả ử ạ ạ ộ ớ ả ề
d a theo idự
GET https://my-rails-app.com/api/projects/:project_id
Khi g i m t ID c a project, s tr v danh sách user c a project đó. Tuy ử ộ ủ ẽ ả ề ủ
nhiên, n u b n t o m t request cho m t project đ c qu n lý b i user ế ạ ạ ộ ộ ượ ả ở
khác.
B n có th quên vi c gi i h n tr v các user ch cho project c a user hi nạ ể ệ ớ ạ ả ề ỉ ủ ệ
t i.ạ
Có m t câu nói t ng k t l i v b o m t r t hay trong tài li u Rails:ộ ổ ế ạ ề ả ậ ấ ệ
As a rule of thumb, no user input data is secure, until proven otherwise, and
every parameter from the user is potentially manipulated.
t m d chạ ị
Theo nguyên t c chung, không có d li u đ u vào c a ng i dùng là an ắ ữ ệ ầ ủ ườ
toàn, cho đ n khi đ c ch ng minh và m i thông s t ng i dùng đ u có ế ượ ứ ọ ố ừ ườ ề
kh năng b s a đ i.ả ị ử ổ
Gi i phápả
Luôn luôn ghi nh vi c gi i h n truy c p tài nguyên v a đ nh t có th . ớ ệ ớ ạ ậ ừ ủ ấ ể
N u b n có th s d ng hàmế ạ ể ử ụ current_user, thì ta có th s a thành:ể ử
# Ban đ uầ
Project.find(params[:id])
# Chuy n thànhể
current_user.projects.find(params[:id])
có thể bạn quan tâm
Tổng quan về thẻ và rủi ro trong hoạt động kinh doanh thẻ, thực trạng...
96
890
340
Kinh tế quản lý
96
(New)
Thực trạng hoạt động kinh doanh của các ngân hàng thương mại ở Việt Na...
36
695
284
Kinh tế quản lý
36
(New)
Đánh giá tổng quát và phân tích thực trạng triển khai nghiệp vụ cho va...
78
682
280
Kinh tế quản lý
78
(New)
Lý luận chung quản lý nhà nước về thương mại dịch vụ, thực trạng quản...
52
756
276
Kinh tế quản lý
52
(New)
Khái niệm về Marketing trong thương mại điện tử và mục đích của Market...
24
875
311
Kinh tế quản lý
24
(New)
Luận văn: Khái niệm thương mại điện tử và Khai phá dữ liệu trong Thươn...
56
1.308
436
Kinh tế - Thương mại
56
(New)
Thực trạng quản lý nhà nước đối với một số lĩnh vực thương mại dịch vụ...
52
803
315
Kinh tế quản lý
52
(New)
Phân tích đánh giá thực trạng rủi ro, một số giải pháp nhằm phòng ngừa...
78
763
263
Kinh tế quản lý
78
(New)
thông tin tài liệu
Tài liệu tổng hợp 5 lỗi bảo mật cơ bản mà bạn thường hay gặp phải trong các ứng dụng Rail
Mở rộng để xem thêm
từ khóa liên quan
tài liệu mới trong mục này
tài liệu hot trong mục này
tài liệu giúp tôi
Nếu bạn không tìm thấy tài liệu mình cần có thể gửi yêu cầu ở đây để chúng tôi tìm giúp bạn!
xem nhiều trong tuần
Luận văn về các tác nhân ảnh hưởng đến kết quả học tập của sinh viên chính quy trường Đại Học Kinh Tế- TP HCM
Bài toán nâng cao lớp 2: Giải toán
Toán nâng cao lớp 2: Bài tập Cộng trừ không nhớ trong phạm vi 100 số hạng
Kinh tế hội nhập
Trắc nghiệm Hóa học 10 bài 2: Hạt nhân nguyên tử. Nguyên tố hóa học. Đồng vị
Luận văn: Khóa luận tốt nghiệp: Cơ sở lý luận bình đẳng giới và thực trạng thực hiện bình đẳng giới ở VN hiện nay
yêu cầu tài liệu
Giúp bạn tìm tài liệu chưa có
×
