secure guestbook

Libro de visitas seguro: una demostración de tecnología de principios de diseño de aplicaciones de PHP seguros de Gleb Andreev

Acerca de

El libro de visitas seguro es una aplicación web, escrita en PHP. La persistencia de datos se implementa con MySQL.

Esta demostración fue escrita para demostrar mi enfoque en la situación "No tienes nada excepto PHP y MySQL. Necesitas escribir una aplicación segura. Muestra lo que puedes".

Esto también podría ser un desafío: implementar esta aplicación, torturarla, piratearla, demostrar que hay fallas a nivel de aplicaciones. Estoy 95% seguro de que no. Muéstrame, me equivoco.

Nota importante

Esta aplicación no se trata de reinventar la rueda. Sí, hay muchos marcos y libs de OpenSource.

Esto se trata más del desafío de comprender la naturaleza interna de los marcos que usamos todos los días y cómo afecta la seguridad, la extensibilidad y la mantenimiento de las aplicaciones que creamos.

La tarea

La tarea es escribir una aplicación de demostración en PHP puro sin librios de terceros.

La aplicación es un libro de visitas con las siguientes opciones: registro del usuario, inicio de sesión e inicio de sesión, mensajes creando, editar, eliminar, agregar respuesta.

Discusión

La tarea es escribir una aplicación de demostración en PHP puro sin librios de terceros para demostrar que el diseño correcto es la mejor manera de crear aplicaciones seguras.

A pesar de la evidente tempentación de escribir una aplicación simple de una manera excesiva, hay una falla aún más obvia de ese enfoque: pierde el control sobre la aplicación y se ahoga en las limitaciones de esa simplicidad alusiva.

Entonces, sí, vale la pena escribir un marco MVC simple pero funcional que escribir 10 scripts PHP no extensibles, mezclados con HTML.

Conceptos y flujo de trabajo

Un entorno similar a MVC se escribió desde cero para esta demostración. Interfaz en puro HTML ultra simple no establecido.

Todo el procesamiento se realiza alrededor de un ciclo de vida de un objeto de solicitud que se está mutando durante la siguiente secuencia:

1. Ingestión de una solicitud
2. Autenticación
3. Enrutamiento
4. Preparación de datos e inyección en solicitud por controlador
5. HTML Renderización en el subsistema de vista
6. Enviando la respuesta

Como el desafío fue principalmente sobre escribir una aplicación, por lo segura que sea posible, la siguiente lista de mesaures tomados para hacer cumplir la aplicación:

1. Arquitectura similar a MVC de punto de entrada
2. Alcance de tiempo de ejecución aislado, nada es global
3. Los errores se manejan mediante excepciones de paso
4. Parámetros de solicitud indirecta Ingestión después de la verificación de la cordura
5. Parámetros de solicitud completa desinfectación
6. Reacción proactiva a los intentos desbordados de coordinación con fail local2ban
7. Plantillas de vista completamente estática
8. Protección CSRF semi-transparente para solicitudes postales
9. Autenticación del usuario basada en el token
10. Los tokens de usuario están en enlace a la dirección IP
11. Implementación semi-paranoides incorporada Fail2Ban, manejando ambos errores y solicitudes Tempo
12. Los parámetros mysql se toman de env vars
13. XSS y restricciones de contenido Los encabezados se están enviando

Fail2ban

Para limitar el número de intentos de robo, el fallado simplificado local2ban es Buil-in.

Las características principales son:

1. Prohibir durante 1 hora por IP, independientemente del usuario.
2. Prohibir al usuario durante 1 hora, independientemente de la IP.

Los umbrales de prohibición de errores y solicitudes son configurables.

Pruebas

Cantidad muy básica de pruebas proporcionadas para subsistemas de columna vertebral.

Configurar el entorno local para ejecutar la aplicación

Prerrequisitos: PHP 7 (PDO_MYSQL, OpenSSL), Composer (solo para phpunit), servidor HTTP

1. Establecer variables de entorno:

 WEBAPP_BASEDIR - should point to src/ folder
WEBAPP_STORAGE_MYSQL_HOST
WEBAPP_STORAGE_MYSQL_USER
WEBAPP_STORAGE_MYSQL_PASSWORD
WEBAPP_STORAGE_MYSQL_DB

2. Configure la raíz del documento de su servidor web para apuntar a src/public con el índice de documentos predeterminado.php
3. Acceda a la aplicación en el navegador

Pruebas unitarias

1. Ejecutar phpunit en el directorio del proyecto root, asegurarse de que se aproben todas las pruebas

phpunit --bootstrap tests/bootstrap.php tests/ApplicationTest.php

---

Notas

1. La protección completa (modo encubierto) está deshabilitado en Configuration.php en getDisableProtection (). Establecerlo en falso para la seguridad completa
2. Ver /src/classes/configuration.php para aprender sobre la configuración actual
3. Fail2ban Config es relativamente paranoico, ajuste getErrorsTillBan y getRequestsTillBan si es necesario