Szeroka Perspektywa Full-Stack Web Developmentu: Najpopularniejsze błędy Security

0:00Pomimo tego, że temat security nie jest naszym głównym punktem uwagi, tak

0:04jednocześnie wrażliwość będzie spotykać się z nim niejednokrotnie.

0:08Często to do Ciebie będzie należało

0:10zadbanie o ten obszar i co ważne nie zawsze musisz wykonywać to samodzielnie,

0:14ale na koniec dnia musisz przynajmniej mieć świadomość tego, o co należy zadbać.

0:19W związku z tym przygotowałem taką listę

0:20bezpieczeństwa, którą sam wykorzystuję w ramach moich aplikacji.

0:24I co więcej, mogę się tutaj pochwalić przynajmniej kilkoma audycjami oraz

0:28testami bezpieczeństwa, które pomyślnie przechodziły moje aplikacja.

0:32W związku z tym myślę, że ta lista będzie

0:34wystarczająco wyczerpująca, aby przynajmniej wprowadzić Cię w ten temat.

0:38Zatem pierwszym punktem, o które na pewno

0:40należy zadbać, jest odpowiednie skonfigurowanie naszego serwera.

0:44Oczywiście na potrzeby developmentu i

0:46zabawy oraz nauki zajmuje się konfiguracją samodzielnie i tutaj z pewnością

0:50przychodzi z pomocą blog Digital 8, o którym już wspominałem.

0:54Mianowicie mam tutaj konkretnie na myśli elementy takie jak konfiguracja firewalla,

0:58odpowiednia konfiguracja portów, połączenia SSL, proxy czy np.

1:02mechanizmu kierującego.

1:04Tutaj również musi być odpowiednio skonfigurowany, aby przypadkowo

1:07użytkownicy nie zyskali dostępu do danych, do których dostępu mieć nie powinni.

1:11Jednocześnie muszę tutaj podkreślić, że w

1:13momencie, gdy moja aplikacja trafia już na serwer produkcyjny, albo bardziej ma

1:17trafić na serwer produkcyjny i też mają zacząć z niej korzystać prawdziwi

1:21użytkownicy, to w każdym przypadku dbałem o to, aby zlecić skonfigurowanie mojego

1:26produkcyjnego serwera osobie, która bardzo mocno się w tym obszarze specjalizuje.

1:30W takim zleceniu nie tylko uwzględniam to,

1:32aby skonfigurować serwer pod kątem działania mojej aplikacji, ale również

1:36właśnie elementów security oraz elementów dotyczących tworzenia backupów.

1:40Konkretnie mam tutaj na myśli backup

1:42plików, które wygrywają użytkownicy i zwykle one trafiają do katalogu aplauz i w

1:47związku z tym muszą być tworzone odpowiednie kopie zapasowe tego katalogu.

1:51I to samo z resztą naturalnie bazy danych, która również musi być

1:55kopiowana na jakiś oddzielny serwer, gdzie przechowuje te kopie zapasowe.

1:59Dodatkowo w takim zleceniu uwzględniam

2:01również to, aby osoba, która go konfiguruje przygotowała mi instrukcję

2:05wykorzystania tej konfiguracji oraz również to w jaki sposób mogę skorzystać z

2:10backupu i przywrócić moją aplikację bez konieczności angażowania kogokolwiek.

2:14W związku z tym pierwszy punkt dotyczy konfiguracji serwera.

2:18I tak jak powiedziałem, najlepiej jest

2:19zlecić to zadanie specjalisty, który po prostu przygotuje dla nas samą

2:23konfigurację oraz instrukcję wykorzystania.

2:26Pamiętaj proszę na tym etapie również o obiektach.

2:28Kolejnym punktem jest filtrowanie wprowadzanych danych.

2:32Mowa tutaj przede wszystkim o nastawieniu uwzględniającym absolutny brak zaufania

2:36względem danych, które trafiają do naszej aplikacji.

2:39Już bez znaczenia, czy pochodzą one od użytkownika, czy od innej aplikacji.

2:43Zawsze musisz upewnić się, że dane, które

2:45są wysyłane do Ciebie są odpowiednio filtrowane i np.

2:49odrzucane są tam dodatkowe pola, których w

2:51ogóle się nie spodziewasz, a potencjalnie Twoja aplikacja mogłaby na nie reagować.

2:56Jednocześnie też mowa tutaj na tym etapie o weryfikacji np.

3:00typów i narzucaniu różnego rodzaju ograniczeń do wprowadzanych danych.

3:04No i właśnie, jeżeli już o ograniczeniach mowa, to najlepiej tutaj od razu

3:08powiedzieć również o walidacji wprowadzanych danych.

3:11Chodzi o to, że w wielu przypadkach może

3:12dojść do sytuacji, w której dane wprowadzane przez użytkownika

3:16całkowicie pasują do tych, których sam się spodziewasz.

3:19Inaczej mówiąc, wyglądają one pozornie poprawnie.

3:22Jednocześnie to od siebie bądź od

3:23narzędzi, z których korzystasz, zależy to, czy np.

3:26w przypadku wprowadzonego komentarza

3:28zostaną przefiltrowane jakieś potencjalne niebezpieczne znaki i w rezultacie zostaną

3:33zablokowane przykładowo ewentualnie niebezpieczne skrypty bądź różnego rodzaju

3:37złośliwe kod, które mógłby zostać w ten sposób przekazane do Twojej aplikacji.

3:42Zatem tutaj jak widzisz, oba te tematy poruszaliśmy już w naszych materiałach i

3:46będziemy do nich niejednokrotnie wracać, aczkolwiek bez wątpienia w obszarze

3:49security warto zwracać na nie szczególną uwagę.

3:53Następnie mamy uwierzytelnienie połączenia

3:55oraz zabezpieczenie ścieżek, czyli prawdopodobnie najprostszy błąd security,

3:59ponieważ jego ewentualne popełnienie jest naprawdę bardzo łatwe.

4:02Wystarczy jakieś niedopatrzenie, nie zabezpieczenie ścieżki, bądź też np.

4:06prosty błąd w logice sprawdzającej, czy

4:08użytkownik ma dostęp do określonego zasobu w tym temacie.

4:12Oczywiście najlepszym sposobem

4:13zabezpieczenia się przed takimi błędami jest wykorzystanie testów automatycznych.

4:17Rzeczywistość jednak pokazuje, że w

4:19niektórych przypadkach nie mamy z nimi do czynienia.

4:21Ale nawet bez względu na to, czy mamy

4:23testy czy nie, temu tematowi powinniśmy poświęcić szczególną ilość uwagi.

4:27Właśnie ze względu na to, że jest to jeden

4:29z najbardziej popularnych błędów dotyczących bezpieczeństwa aplikacji.

4:34No i teraz kolejną kwestią, o której już zdarzyło mi się mówić, więc nie będę się

4:38tutaj zbytnio powtarzał, a mianowicie chodzi mi tutaj o wykorzystanie logów oraz

4:42różnego rodzaju alertów działających w naszej aplikacji.

4:45Po prostu w momencie, gdy dojdzie już do

4:47ewentualnego problemu, bądź też do próby jego wywołania, po prostu musisz mieć

4:51jakiś ślad, który pozwoli Ci to zidentyfikować i ewentualnie jeszcze

4:55bardziej zabezpieczyć się na ewentualne powtórki takich sytuacji.

5:00Tymczasem kolejną niesamowicie istotną kwestią jest kasowanie haseł oraz

5:04anonimizacji danych, które przechowujesz w swojej aplikacji oraz w bazie danych.

5:09O tym temacie również zarówno już

5:10mówiliśmy oraz będziemy mówić i wykorzystywać to w praktyce.

5:14Natomiast chciałbym go bardzo wyraźnie podkreślić.

5:17Pamiętaj proszę, aby pod żadnym pozorem

5:20nie przechowywać haseł użytkowników w formie tzw.

5:23plain tekstu.

5:24Jest to kardynalny błąd, którego po prostu nie można popełniać.

5:27Tym bardziej, że wykorzystanie np.

5:29Big D do tego, aby utworzyć hash na

5:31podstawie hasła jest naprawdę bardzo proste.

5:34Kolejnym wątkiem, o który jest

5:35zdecydowanie również warto zadbać, jest dbanie o swoje dane.

5:39Oznacza to, że nie tylko liczy się to, w jaki sposób zabezpieczasz swoją aplikację,

5:44ale również elementy takie jak swoje hasła, swój komputer, telefon i różnego

5:48rodzaju punkty, które umożliwiają dostęp np.

5:50do Twoich kont. Pomimo tego, że domyślam się, że ten temat

5:54masz już zaadresowany, to i tak bez wątpienia warto zwracać na niego uwagę.

5:58Kolejnym punktem jest aktualizacja wersji stacku technologicznego.

6:02Mam tutaj na myśli zarówno wersje

6:04frameworków, z których korzystasz oraz paczek, w przypadku których często

6:07pojawiają się różnego rodzaju luki, które są łatane w kolejnych wersjach.

6:11Co więcej, tak jak powiedziałem w jednej z lekcji dotyczących Package Managera, warto

6:16dbać o aktualizację naszej aplikacji na bieżąco.

6:19Po prostu w momencie, gdy będziemy zwlekać

6:21z tym procesem przez długi czas, dokonanie aktualizacji może być albo bardzo trudne,

6:26albo wręcz już niemożliwe do wykonania w ramach zasobów, które masz do dyspozycji.

6:31W związku z tym najlepiej jest wyrobić sobie nawyk aktualizacji, a po drugie też

6:35w ramach Twoich obowiązków czy też w zasadzie obowiązków całego zespołu

6:39stworzyć sobie przestrzeń do tego, aby móc przeprowadzać aktualizacje na bieżąco.

6:44I ostatnim punktem, po który sam osobiście sięgałem są audyty bezpieczeństwa.

6:49Po prostu nie ulega wątpliwości fakt, że niezależnie od tego, jaką specjalizację

6:53mamy, bardzo łatwo jest przeoczyć różnego rodzaju elementy.

6:57W związku z tym zamiast przykładowo czekać

6:59na audyty, które zostaną przeprowadzane przez np.

7:02klientów bądź inne zewnętrzne podmioty, warto np.

7:06porozmawiać ze swoim przełożonym czy też w ogóle szefem firmy na temat

7:09przeprowadzenia wewnętrznych audytów bezpieczeństwa, które swoją drogą powinny

7:13być standardem, ale też wiem, że nie zawsze są.

7:16Przeprowadzenie takiego audytu przykładowo

7:18raz na pół roku, bądź w zależności od rozwoju Twojej aplikacji nawet raz na rok,

7:23wystarczy do tego, aby przede wszystkim wskazać te ewentualne luki bezpieczeństwa,

7:28o które możesz po prostu zadbać bez dodatkowej presji wynikającej chociażby z

7:32faktów weryfikowania przez zewnętrzne podmioty.

7:34Tak jak powiedziałem, ja osobiście

7:36korzystałem z tego rodzaju usług ze względu na to, że po prostu zależało mi na

7:40tym, aby moje aplikacje były bezpieczne i też dodatkowo chciałem być po prostu

7:44bardziej spokojny co do bezpieczeństwa moich aplikacji, a przy okazji też to był

7:48świetny sposób na to, aby poznawać ludzi, którzy przeprowadzają tego rodzaju audyty

7:53i też poszerzać swoją wiedzę w tym obszarze.

7:56Przykładowo przejście przez punkty

7:57wymienione w audycie bardzo mocno pozwalają poszerzyć wiedzę na ten temat

8:02nawet w sytuacji, gdy nieświadomie je zadecydowaliśmy i po prostu audyt został

8:06przeprowadzony pomyślnie i również jego efekty nie wykazały jakichś rażących luk.

8:11Zatem jak widzisz, jeżeli chodzi o moją

8:13listę bezpieczeństwa, jest ona stosunkowo krótka, ale jednocześnie pokrywa

8:17praktycznie każdy obszar aplikacji od konfiguracji serwera, przez konfigurację

8:21aplikacji, poprzez dbanie o moje dane, a nawet sięganie po audyty bezpieczeństwa.

8:27Naturalnie w tym wszystkim polecam Ci

8:28dodatkowo poszerzać wiedzę na temat bezpieczeństwa aplikacji webowych i

8:33stopniowo też wdrażać kolejne elementy, które będzie badać i poznawać.

8:37Dobra wiadomość jest taka, że niemal wszystkie te wątki poruszane są bardzo

8:41często w tutorialach i w różnego rodzaju kursach, z których przyjdzie Ci korzystać.

8:45Natomiast na koniec dnia to Ty przede wszystkim musisz dbać o to, aby zwracać

8:49uwagę właśnie na kwestie bezpieczeństwa Twojej aplikacji.

8:52Tymczasem jeżeli chodzi o kwestie security, to by było na tyle.

8:55W związku z tym dziękuję za uwagę i do usłyszenia w kolejnej lekcji.