Segurança no Rails

Segurança
no Rails

View Slide

@fnando

View Slide

@fnando
UM
NOVO
PROJETO.

View Slide

@fnando
MUITO
TRABALHO,
MAS VOCÊ
TENTA FAZER O
MELHOR.

View Slide

@fnando
VOCÊ
COLOCA O
PROJETO
NO AR.

View Slide

@fnando
VOCÊ SABE
QUE É APENAS
O COMEÇO.

View Slide

@fnando
VOCÊ
ESTÁ
SEGURO?

View Slide

@fnando
75% DOS
ATAQUES ESTÃO
NA CAMADA DA
APLICAÇÃO.

View Slide

@fnando
BRECHAS DE
SEGURANÇA
PODEM ACABAR
COM A SUA
CREDIBILIDADE.

View Slide

Injection
Broken Authentication & Session Management
Cross-Site Scripting (XSS)
Insecure Direct Object References
Security Misconﬁguration
Sensitive Data Exposure
Missing Function Level Access Control
Cross-Site Request Forgery (CSRF)
Using Components with Known Vulnerability
Unvalidated Redirects and Forwards
OWASP — TOP 10 2013

View Slide

@fnando
owasp.org

View Slide

@fnando
O RAILS É
BEM SEGURO
POR PADRÃO.

View Slide

@fnando
AINDA ASSIM,
O RAILS TEM
ALGUMAS
BRECHAS.

View Slide

@fnando
E OUTRAS
BRECHAS SÃO
INTRODUZIDAS
PELOS DEVS.

View Slide

@fnando
NESTA
PALESTRA
VAMOS VER
ALGUMAS
BRECHAS.

View Slide

@fnando
CONFIGURAÇÃO

View Slide

@fnando
NUNCA
ARMAZENE
CONFIGS NO
REPOSITÓRIO.

View Slide

@fnando
SE VOCÊ USA
HEROKU, USE
VARIÁVEIS DE
AMBIENTE.

View Slide

@fnando
OU COPIE O
ARQUIVO DE
CONFIG NA
HORA DO
DEPLOY.

View Slide

@fnando
VOCÊ PODE
USAR ALGO
COMO O
DOTENV.

View Slide

@fnando
source "http://rubygems.org"
gem "dotenv-rails"

View Slide

@fnando
# .env.development
PORT=3000
API_KEY=abc
REDIS_URL=redis://localhost
DEFAULT_URL=http://hellobits.com

View Slide

@fnando
ISSO INCLUI O
SECRET TOKEN
DA APLICAÇÃO.

View Slide

@fnando
SEU SECRET
TOKEN É UMA
CHAVE PARA
SEU SERVIDOR.

View Slide

@fnando
NO GITHUB, É
POSSÍVEL
ENCONTRAR
MUITOS APPS
VULNERÁVEIS.

View Slide

@fnando

View Slide

@fnando
SESSION
HIJACKING

View Slide

@fnando
O PROTOCOLO
HTTP É
STATELESS.

View Slide

@fnando
USO DE
COOKIES PARA
FAZER A
IDENTIFICAÇÃO
DO USUÁRIO.

View Slide

@fnando
UM ATACANTE
PODE ROUBAR
O COOKIE DE
UM USUÁRIO.

View Slide

@fnando
ELE USA O
COOKIE PARA
SE IDENTIFICAR
COMO O
USUÁRIO.

View Slide

@fnando
FORCE O USO
DE SSL EM TUDO
QUE EXIGE
AUTENTICAÇÃO.

View Slide

@fnando
Codeplane::Application.configure do
config.force_ssl = true
end

View Slide

@fnando
EXPIRE A
SESSÃO EM
CASO DE
INATIVIDADE.

View Slide

@fnando
Codeplane::Application.config.session_store :cookie_store,
key: "_codeplane_session",
expire_after: 1.hour

View Slide

@fnando
MARQUE
COOKIES COM A
OPÇÃO HTTP
ONLY.

View Slide

@fnando
MARQUE
COOKIES COM A
OPÇÃO SECURE.

View Slide

@fnando

View Slide

@fnando
NUNCA
ARMAZENE
DADOS
SENSÍVEIS NO
CLIENTE.

View Slide

@fnando
$ http http://localhost:9292/
HTTP/1.1 200 OK
Cache-Control: max-age=0, private, must-revalidate
Connection: Keep-Alive
Content-Length: 1313
Content-Type: text/html; charset=utf-8
Date: Fri, 27 Sep 2013 23:41:57 GMT
Etag: "b313808d614f80d3d28848edf101ef4b"
Server: WEBrick/1.3.1 (Ruby/2.0.0/2013-06-27)
Set-Cookie: _rails3-app_session=BAh7CEki...3Npa9d; path=/; HttpOnly
X-Request-Id: c0f73c4949d60ef75c3d1d8fdf5c15d5
X-Runtime: 0.054038
X-Ua-Compatible: IE=Edge

View Slide

@fnando
Rack::Session::Cookie::Base64::Marshal.new
.decode("BAh7CE...d6ed576495a9d")
# => {
# "session_id" => "abdbb7fde7dee53f83ea22247c4b0cd9",
# "user_id" => 1234,
# "_csrf_token" => "H38unAYbBFoMF7zPzY6QKQq8keS2hnE+rXf5UW3stv0="
# }

View Slide

@fnando
NO RAILS 4 A
SESSÃO É
CRIPTOGRAFADA.

View Slide

@fnando
Rack::Session::Cookie::Base64::Marshal.new
.decode("aTMwT1dj...K1VGMX8c2")
# => nil

View Slide

@fnando
USE COOKIES
ASSINADOS,
COM DOMÍNIO
RESTRITO.

View Slide

@fnando
cookies.signed[:name] = {
httponly: true,
value: "John Doe",
domain: "example.org"
}

View Slide

@fnando
OU USE
SIMPLESMENTE
A SESSÃO.

View Slide

@fnando
SESSION
FIXATION

View Slide

@fnando
UM ATACANTE
USA A SESSÃO
DE UM USUÁRIO
PARA SEMPRE.

View Slide

@fnando
A SESSÃO NÃO
EXPIRA.

View Slide

@fnando
E UMA NOVA
SESSÃO NÃO É
INICIADA.

View Slide

@fnando
class SessionsController < ApplicationController
def create
user = User.find_by_email(params[:email])
if user && user.authenticate(params[:password])
reset_session
session[:user_id] = user.id
redirect_to dashboard_path
else
render :new
end
end
end

View Slide

@fnando
USE OUTRO
SESSION STORE
QUE ARMAZENE
AS SESSÕES
ATIVAS.

View Slide

@fnando
ISSO PERMITE
INVALIDAR
SESSÕES ATIVAS
REMOTAMENTE.

View Slide

@fnando

View Slide

@fnando
O ACTIVE
RECORD POSSUI
UM ADAPTER
PARA SESSION
STORE.

View Slide

@fnando
REDIRECTIONS

View Slide

@fnando
O ATACANTE
PODE USAR A
ENTRADA DE
URL PARA
PHISHING.

View Slide

@fnando
return_url = ReturnUrl.new(dashboard_path)
.return_url(params[:return_to])
!
redirect_to return_url

View Slide

@fnando
class ReturnUrl
attr_reader :default_url
def initialize(default_url)
@default_url = default_url
end
!
def return_url(url)
return default_url if url.blank?
!
uri = URI.parse(url)
path = uri.path
path << "?#{uri.query}" if uri.query
path << "##{uri.fragment}" if uri.fragment
path
end
end

View Slide

@fnando
O REFERRER
PODE CONTER
INFORMAÇÕES
SENSÍVEIS.

View Slide

@fnando
FAÇA O
REDIRECT À
PARTIR DE UMA
PÁGINA
ESPECÍFICA.

View Slide

@fnando
PODE SER UMA
BOA IDEIA
AVISAR O
USUÁRIO.

View Slide

@fnando

View Slide

@fnando
SQL INJECTION

View Slide

@fnando
UM ATACANTE
PODE INJETAR
SQL À PARTIR DE
PARÂMETROS.

View Slide

@fnando
User.where("role = #{params[:role]}")

View Slide

@fnando
email = " ' OR 1) --"
User.where("email = '#{email}'").first
#=> #
!
id = "1) OR 1=1--"
User.delete_all("id = #{id}")

View Slide

@fnando
NUNCA
INTERPOLE EM
QUERIES SQL.

View Slide

@fnando
# Using a hash
User.where(email: params[:email])
!
# Using placeholders
User.where("name LIKE ?", "%#{params[:name]}%")
!
# Using named placeholders
User.where("name LIKE :name", name: "%#{params[:name]}%")

View Slide

@fnando
VOCÊ AINDA
NÃO ESTÁ
SEGURO.

View Slide

@fnando
MUITOS
MÉTODOS DO
ACTIVE RECORD
PODEM SER
PERIGOSOS.

View Slide

Métodos potencialmente perigosos
ActiveRecord::Base#average
ActiveRecord::Base#count
ActiveRecord::Base#maximum
ActiveRecord::Base#minimum
ActiveRecord::Base#sum
ActiveRecord::Base.exists?
ActiveRecord::Base.pluck

View Slide

@fnando
ESSES
MÉTODOS
ACEITAM
SNIPPETS DE
SQL.

View Slide

@fnando
params[:column] = <<-SQL
salary) FROM users WHERE email = '[email protected]';
SQL
!
User.calculate(:sum, params[:column])
#=> 4200

View Slide

@fnando
FAÇA O
WHITELIST DOS
NOMES DE
CAMPOS OU
SANITIZAÇÃO.

View Slide

@fnando
column = ActiveRecord::Base.connection.quote(params[:column])
User.calculate(:sum, params[:column])
#=> 0.0

View Slide

@fnando
rails-sqli.org

View Slide

@fnando
CROSS-SITE
SCRIPTING (XSS)

View Slide

@fnando
NUNCA CONFIE
EM DADOS
ENVIADOS
PELOS
USUÁRIOS.

View Slide

@fnando
À PARTIR DO
RAILS 3, O
OUTPUT É
SANITIZADO
POR PADRÃO.

View Slide

@fnando
MAS NEM TUDO
É SANITIZADO.

View Slide

@fnando
class User
include ActiveModel::Model
!
attr_accessor :site_url
!
validates_format_of :site_url,
with: %r[https?://[^ ]+]i
end

View Slide

@fnando
@user = User.new({
site_url: "javascript:alert('PWNED');\n//http://example.org"
})

View Slide

@fnando
<%= link_to "Visite site", @user.site_url %>

View Slide

@fnando
ANALIZE A URL,
VALIDANDO O
PROTOCOLO E
HOSTNAME.

View Slide

@fnando
require "active_model"
require "uri"
!
class UrlValidator < ActiveModel::EachValidator
PROTOCOLS = %w[http https]
!
def validate_each(record, attribute, value)
uri = URI.parse(value)
valid = PROTOCOLS.include?(uri.scheme)
rescue URI::InvalidURIError
valid = false
ensure
record.errors.add(attribute, :invalid_url) unless valid
end
end

View Slide

@fnando
class User < ActiveRecord::Base
validates :site_url, url: true
end

View Slide

@fnando
SANITIZAÇÃO É
IMPORTANTE,
MAS ÀS VEZES
QUEREMOS TER
CONTROLE.

View Slide

@fnando
À PARTIR DO
RAILS 3, AS
STRINGS SÃO
CRIADAS COMO
BUFFERS.

View Slide

@fnando
VOCÊ PODE
MARCAR
BUFFERS COMO
SEGUROS.

View Slide

@fnando
text = "Hello"
!
text.html_safe?
#=> false
!
text.html_safe.html_safe?
#=> true

View Slide

@fnando
MARCAR O
BUFFER COMO
SEGURO PODE
SER FEITO NO
TEMPLATE.

View Slide

@fnando
<%= raw page.content %>

View Slide

@fnando
UM BUFFER
MARCADO
COMO SEGURO
RENDERIZA
HTML.

View Slide

@fnando
SE FOR
RENDERIZAR
CONTEÚDO DO
USUÁRIO,
SANITIZE-O.

View Slide

@fnando
O RAILS POSSUI
O MÉTODO
SANITIZE.

View Slide

@fnando
OU USE O
LOOFAH.
http://fnando.me/o7

View Slide

@fnando
O LOOFAH DEVE
ENTRAR NO
RAILS EM
BREVE.
http://fnando.me/o6

View Slide

@fnando
O LOOFAH PODE
SER INTEGRADO
AO ACTIVE
RECORD.
http://fnando.me/o5

View Slide

@fnando
class Article < ActiveRecord::Base
# Completely remove unsafe and/or
# unknown tags.
html_fragment :body, scrub: :prune
end

View Slide

@fnando
NÃO INTERPOLE
VALORES
ENVIADOS PELO
USUÁRIO EM
STRINGS HTML.

View Slide

@fnando
def annotation(text)
%[#{text}].html_safe
end
content_tag :em, text, class: "annotation"
end
%[#{h(text)}].html_safe
end

View Slide

@fnando
SOFTWARE
UPDATE

View Slide

@fnando
NUNCA USE
SOFTWARE
DESATUALIZADO.

View Slide

@fnando
APLIQUE AS
ATUALIZAÇÕES
DE SEGURANÇA
O MAIS RÁPIDO
POSSÍVEL.

View Slide

@fnando
O RAILS TEVE
DIVERSOS
RELEASES COM
CORREÇÕES
IMPORTANTES.

View Slide

@fnando
SE VOCÊ NÃO
ATUALIZA SEU
APLICATIVO, É
HORA DE FICAR
COM MEDO.

View Slide

@fnando
EXISTE UMA
FERRAMENTA
CHAMADA
METASPLOIT.

View Slide

@fnando
ELA POSSUI
EXPLOITS PARA
AS FALHAS MAIS
CONHECIDAS
DO RAILS.

View Slide

Segurança no Rails

Segurança no Rails

Nando Vieira

More Decks by Nando Vieira

Other Decks in Programming

Featured

Transcript