secure guestbook

Livro de visitas seguro - uma demonstração de tecnologia de design de aplicativos PHP segura de Gleb Andreev

Sobre

O Secure Guestbook é um aplicativo da Web, escrito no PHP. A persistência dos dados é implementada com o MySQL.

Esta demonstração foi escrita para demonstrar minha abordagem na situação "Você não tem nada, exceto PHP e MySQL. Você precisa escrever um aplicativo seguro. Mostre o que puder".

Isso também pode ser um desafio para você: implante este aplicativo, torturá-lo, hackear, provar que existem falhas no nível do aplicativo. Tenho 95% de certeza de que não existem. Mostre -me que estou errado.

Nota importante

Este aplicativo não é reinventar a roda. Sim, existem muitas boas estruturas e bibliotecas do OpenSource.

Isso se trata mais do desafio de entender a natureza interior das estruturas que usamos todos os dias e como isso afeta a segurança, a extensibilidade e a manutenção dos aplicativos que criamos.

A tarefa

A tarefa é escrever um aplicativo de demonstração no PHP puro sem LIBs de terceiros.

O aplicativo é um livro de visitas com os seguintes optos: inscrição no usuário, login e logout, mensagem Criar, editar, excluir e adicionar resposta.

Discussão

A tarefa é escrever um aplicativo de demonstração no PHP puro, sem LIBs de terceiros para demonstrar que o design certo é a melhor maneira de criar aplicativos seguros.

Apesar da tentação óbvia de escrever um aplicativo simples de uma maneira simplificada, há uma falha ainda mais óbvia dessa abordagem: você perde o controle sobre o aplicativo e se afoga nas limitações dessa simplicidade divertida.

Então, sim, vale a pena escrever uma estrutura MVC simples, mas funcional, do que escrever 10 scripts PHP não estendidos, misturados com HTML.

Conceitos e fluxo de trabalho

Um ambiente semelhante a MVC em caldeira foi escrito do zero para esta demonstração. Interface em puro HTML Ultra-Simple não-simples.

Todo o processamento é feito em torno de um ciclo de vida de um objeto de solicitação que está sendo mutado durante a seguinte sequência:

1. Ingestão de um pedido
2. Autenticação
3. Roteamento
4. Preparação de dados e injeção em solicitação pelo controlador
5. Renderização HTML no subsistema de visualização
6. Enviando a resposta

Como o desafio era principalmente sobre escrever um aplicativo, o mais seguro possível, a seguinte lista de mesasas tomadas para fazer cumprir o aplicativo:

1. Arquitetura semelhante a MVC de ponto de entrada único
2. Escopo de tempo de execução isolado, nada é global
3. Os erros são tratados por exceções de passagem
4. Parâmetros de solicitação indireta de ingestão após a verificação da sanidade
5. Parâmetros de solicitação completa Sinitização
6. Reação proativa a tentativas transbordantes de coordiação com Fail2ban local
7. Modelos de visão completamente estática
8. Proteção semi-transparente de CSRF para solicitações de postagem
9. Autenticação de usuário baseada em token
10. Os usuários são vinculados ao endereço IP
11. Implementação semi-paranóide embutida Fail2ban, lidando com erros e solicitações
12. Os parâmetros MySQL são retirados de Env vars
13. Cabeçalhos XSS e Restrições de Conteúdo estão sendo enviados

Fail2ban

Para limitar o número de tentativas de invasão, o Fail2ban simplificado local é o Buil-In.

Os principais recursos são:

1. Proibição por 1 hora por IP, independentemente do usuário.
2. Proibir o usuário por 1 hora, independentemente do IP.

Os limiares de proibição para erros e solicitações quantidades são configuráveis.

Teste

Quantidade muito básica de testes fornecidos para subsistemas de backbone.

Configure o ambiente local para executar o aplicativo

Pré -requisitos: PHP 7 (PDO_MYSQL, OpenSSL), compositor (somente para phpunit), servidor HTTP

1. Definir variáveis ​​de ambiente:

 WEBAPP_BASEDIR - should point to src/ folder
WEBAPP_STORAGE_MYSQL_HOST
WEBAPP_STORAGE_MYSQL_USER
WEBAPP_STORAGE_MYSQL_PASSWORD
WEBAPP_STORAGE_MYSQL_DB

2. Configurar o documento do seu servidor da web root para apontar para src/public with padrão document index.php
3. Acesse o aplicativo no navegador

Testes de unidade

1. Execute a phpunit no diretório do projeto raiz, verifique se todos os testes foram aprovados

phpunit --bootstrap tests/bootstrap.php tests/ApplicationTest.php

---

Notas

1. Proteção completa (modo Covert) está desativado no Configuration.php no getDisableProtecção (). Defina -o como falso para segurança total
2. Veja /src/classes/configuration.php para aprender sobre a configuração atual
3. Fail2ban Config é relativamente paranóico, ajuste getErrorsTillBan e getRequestsTillBan , se necessário