लारवेल में एक "मुझे याद रखें" भेद्यता की खोज की गई थी

कुछ समय पहले, लारावेल ढांचे में "मुझे याद रखें" कार्यक्षमता की भेद्यता का विस्तृत विवरण के साथ एक पोस्ट प्रकाशित किया गया था। इसने नकली लॉगिन कुकी बनाकर किसी भी उपयोगकर्ता को लगाने की अनुमति दी। तब डेवलपर्स ने कहा कि छेद बंद था। लेकिन अधिक विस्तृत रूप से पता चलता है कि हाइड्रा द्वारा केवल एक सिर काट दिया गया था। यहां तक ​​कि अगर आप इस ढांचे का उपयोग नहीं करते हैं, तो भी यह आपके लिए उपयोगी होगा कि आप यह जान सकें कि आपकी साइट पर इस तरह की कार्यक्षमता को लागू करना आवश्यक नहीं है।



मुख्य समस्या यह है कि लारवेल में प्राधिकरण टोकन केवल एन्क्रिप्टेड उपयोगकर्ता आईडी है। यह बुरा क्यों है? सबसे पहले, अगर आप एन्क्रिप्शन के लिए उपयोग की जाने वाली कुंजी को चुराते हैं या उठाते हैं, तो आप उसका पासवर्ड लेने के लिए बिना किसी भी उपयोगकर्ता के लॉग इन कर सकते हैं। बेशक, ऐसी कुंजी प्राप्त करना काफी मुश्किल है, लेकिन उदाहरण के लिए, हाल ही में खोजा गया ओपनएसएसएल हार्टबल भेद्यता इसकी अनुमति देगा। लेकिन यह मुख्य समस्या नहीं है।

अगर कोई आपकी कुकी चुरा ले तो क्या होगा?

वास्तव में, आपका खाता पहले से ही हमेशा के लिए चोरी हो जाता है और आप इसके बारे में कुछ नहीं कर सकते। चूंकि यह सिर्फ आपकी आईडी है, ऐसे कुकीज़ की कोई समाप्ति तिथि नहीं है, आप इसे एक साल बाद भी दर्ज कर सकते हैं, और भले ही आप पासवर्ड बदल दें। यह आक्रमणकारी के लिए एक और दरवाजा खोलता है: यदि उसने एक बार आपका पासवर्ड उठाया था, तो लॉग इन किया था और फिर कुकीज़ को खुद को बचाया था, फिर पासवर्ड को बदलने से अब आपकी मदद नहीं होगी। आइए यहां जोड़ते हैं कि जब आप खुले WIFI (उदाहरण के लिए मैकडॉनल्ड्स) का उपयोग करते हैं, तो आपके पैकेट को रोकना बहुत सरल है।

अगर आईडी नहीं है, तो क्या?

याद रखने के लिए कई विकल्प हैं_ सुरक्षित, वे सभी के लिए कुछ अद्वितीय यादृच्छिक टोकन की आवश्यकता होती है, उदाहरण के लिए:

1) एक टैबलेट बनाएं जिसमें हम बचाएं: user_id, token, expires_on, ip
2) जब "मुझे याद रखें" सक्षम के साथ लॉगिन करें, एक नया यादृच्छिक टोकन बनाएं, उपयोगकर्ता के आईपी को लिखें और टोकन की समाप्ति तिथि भी निर्धारित करें।
3) जब उपयोगकर्ता टोकन लेकर आता है, तो हम प्लेट पर इसकी वैधता की जांच करते हैं
4) उपयोगकर्ता लॉगिन
5) पुराने टोकन को हटा दें
6) पैराग्राफ 2 में एक नया टोकन बनाएं और इसे उपयोगकर्ता को दें

चूंकि टोकन पूरी तरह से यादृच्छिक है, इसलिए इसे उठाना व्यावहारिक रूप से असंभव है। इसे चुराना ज्यादा मुश्किल है, क्योंकि आप इसे केवल एक बार ही इस्तेमाल कर सकते हैं। अतिरिक्त बोनस के रूप में, हमारे पास उपयोगकर्ता के आईपी के लिए एक बंधन है। उन लोगों के लिए जो विस्तृत कार्यान्वयन में रुचि रखते हैं, मैं आपको स्टैकओवरफ़्लो पर पोस्ट पढ़ने की सलाह देता हूं जो एक उपयोगकर्ता को अधिकृत करने के लिए पूरी प्रक्रिया का विस्तार से वर्णन करता है। मैंने यहां एक सरल उदाहरण दिया कि इसके विपरीत कैसे आदिम लारवेल का दृष्टिकोण है।

Moral: आप अपने एप्लिकेशन की सुरक्षा से लेकर फ्रेमवर्क तक पर भरोसा नहीं कर सकते हैं और आशा करते हैं कि सब कुछ आपके लिए है। वैसे, फ्रेमवर्क के निर्माता ने अपने दृष्टिकोण की आलोचना को बहुत खराब तरीके से लिया और टोकन के साथ दृष्टिकोण की पूरी गलतफहमी दिखाई ।