Wątek: Kilka nowych zabezpieczeń

Strona: 1 z 1

1 z 2: pajper

Tak siedziałem pół nocy i pół dnia i programowałem, by możliwie zabezpieczyć Eltena przed powtórką wczorajszego ataku, wyciągnąć z niego wnioski. I o ile nigdy nie ma pewności, że czegoś się nie przeoczy, mam względną pewność, że atak w przedstawiony sposób nie może się powtórzyć.
Poniżej dla zainteresowanych lista kroków:

1. Wykrywanie podejrzanych fraz w zapytaniach
Poprzednio problemem było to, że możliwe było wykorzystanie dziury w systemie awatarów, by pobrać miast awatara inny plik z serwera.
Od tej pory, jeśli nazwy podejrzanych plików pojawią się w zapytaniu (nie mówimy tu o takich sprawach, jak treści wiadomości, które są buforowane, a o zapytaniu do serwera), to stosowne powiadomienie zostanie od razu wysłane do mnie z ostrzeżeniem.

2. Brak dostępu do danych zabezpieczeń
Poprzedni atak wykorzystał wspomnianą lukę, by odczytać hasła do bazy danych i klucze. Muszą one znaleźć się na serwerze, bo inaczej serwer nie będzie działał.
Od tej pory pliki te jednak nie są możliwe do odczytania przez żaden skrypt i nie są przekazywane do żadnego skryptu. Połączenie z bazą danych jest realizowane w osobnym pliku, do którego dostępu odczytu nie ma nic prócz roota serwera.
Stąd nawet przy umieszczeniu złośliwego pliku na serwerze, nie będzie możliwe odczytanie hasła bazy danych.

3. Zamknięcie dostępu z sieci TOR
Wzdragałem się przed tym krokiem ze względu na prawo do prywatności, ale miarka się przebrała.
Dostęp do Eltena z sieci TOR został całkowicie zablokowany na poziomie Firewalla. Oznacza to, że wszystkie zapytania do serwera z TORa są odsyłane z kwitkiem 403 i nawet nie docierają do kodu serwera Eltena.

4. Logi na zewnętrznym serwerze
To akurat powinno być dawno zrobione, ale poradził mi to dopiero Mikołaj. Od tej pory logi Eltena lecą na zewnętrzny, zabezpieczony serwer bez możliwości kasowania czy zmiany istniejących danych, tylko pisania nowych. Teraz nawet w wypadku całkowitej kontroli nad serwerem Eltena, nie można usuwać logów.
Rozwiązanie jest ograniczone, bo serwerem tym jest mój komputer i dane lecą tylko wtedy, gdy jest włączony, ale lepszy rydz, niż nic.

5. Kontrola plików i sum kontrolnych
W sumie dziwię się, że wcześniej na to nie wpadłem.
Od tej strony serwer kontroluje wszystkie pliki Eltena i natychmiast wysyła wiadomość, gdy zmieni się któryś z nich lub pojawi się nowszy.


Oczywiście, nie gwarantuje to, że ktoś nie znajdzie innego sposobu, ale wczoraj zaprezentowany atak zostałby powstrzymany lub prawie natychmist wykryty, gdyby zrealizowano choć jeden (prócz czwartego) z powyższych punktów.
Mam nadzieję, że pozytywnie wpłynie to na zabezpieczenia naszego portalu.
Jeśli ktoś ma jakieś jeszcze propozycje, zapraszam do kontaktu. :)

Z pozdrowieniami,
Dawid Pieper
#StandWithUkraine Shoot for the Moon. Even if you miss, you'll land among the stars.
01.10.2019 15:59

2 z 2: markus1234

To dobrze, że elten został zabezpieczony. Uf.

01.10.2019 16:20