सुरक्षा आसान नहीं है।

नमस्कार।

मैं आपके सामने एक दिलचस्प लेख का अनुवाद प्रस्तुत करता हूं, जिसे मैंने sfDoctrineGuardPugugin में बग को ठीक करने का प्रयास करते हुए पाया। सौभाग्य से, लगभग 2 सप्ताह पहले, यहां लिखा गया सब कुछ पहले से ही तय था और कुछ भी खतरे में नहीं है, लेकिन मैं उन लोगों का ध्यान आकर्षित करना चाहता हूं जो अक्सर प्लग-इन अपडेट की निगरानी नहीं करते हैं और इस भेद्यता के बारे में नहीं जानते हैं।





अंतिम अपडेट: एक साल बाद (अनुवादक के नोट के बाद: त्रुटि के पहले प्रकाशन के बाद), दोनों प्लगइन्स अंत में अपडेट किए गए हैं और एक बेहतर यादृच्छिक कुंजी जनरेटर का उपयोग करते हैं।



सुरक्षा आसान नहीं है। प्रोग्रामर को रैंडम नंबर और आइडेंटिफायर जेनरेशन रेडी-मेड लाइब्रेरी (या कम से कम बेहतर तरीके से विकसित करने) जैसी चीजों को छोड़ देना चाहिए। कई परियोजनाओं में कठिनाई के साथ इसे महारत हासिल है।



आइए इस बारे में बात करते हैं, एक फ़ंक्शन के उदाहरण के बारे में जो मुझे 6 महीने पहले मिले थे:

function generateRandomKey( $len = 20 ) { $string = '' ; $pool = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789' ; for ( $i = 1 ; $i < = $len ; $i ++) { $string .= substr( $pool , rand( 0 , 61 ), 1 ); } return md5( $string ); }

1. function generateRandomKey( $len = 20 ) { $string = '' ; $pool = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789' ; for ( $i = 1 ; $i < = $len ; $i ++) { $string .= substr( $pool , rand( 0 , 61 ), 1 ); } return md5( $string ); }
   
   
   
   
2. function generateRandomKey( $len = 20 ) { $string = '' ; $pool = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789' ; for ( $i = 1 ; $i < = $len ; $i ++) { $string .= substr( $pool , rand( 0 , 61 ), 1 ); } return md5( $string ); }
   
   
   
   
3. function generateRandomKey( $len = 20 ) { $string = '' ; $pool = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789' ; for ( $i = 1 ; $i < = $len ; $i ++) { $string .= substr( $pool , rand( 0 , 61 ), 1 ); } return md5( $string ); }
   
   
   
   
4. function generateRandomKey( $len = 20 ) { $string = '' ; $pool = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789' ; for ( $i = 1 ; $i < = $len ; $i ++) { $string .= substr( $pool , rand( 0 , 61 ), 1 ); } return md5( $string ); }
   
   
   
   
5. function generateRandomKey( $len = 20 ) { $string = '' ; $pool = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789' ; for ( $i = 1 ; $i < = $len ; $i ++) { $string .= substr( $pool , rand( 0 , 61 ), 1 ); } return md5( $string ); }
   
   
   
   
6. function generateRandomKey( $len = 20 ) { $string = '' ; $pool = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789' ; for ( $i = 1 ; $i < = $len ; $i ++) { $string .= substr( $pool , rand( 0 , 61 ), 1 ); } return md5( $string ); }
   
   
   
   
7. function generateRandomKey( $len = 20 ) { $string = '' ; $pool = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789' ; for ( $i = 1 ; $i < = $len ; $i ++) { $string .= substr( $pool , rand( 0 , 61 ), 1 ); } return md5( $string ); }
   
   
   
   
8. function generateRandomKey( $len = 20 ) { $string = '' ; $pool = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789' ; for ( $i = 1 ; $i < = $len ; $i ++) { $string .= substr( $pool , rand( 0 , 61 ), 1 ); } return md5( $string ); }
   
   
   
   
10. function generateRandomKey( $len = 20 ) { $string = '' ; $pool = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789' ; for ( $i = 1 ; $i < = $len ; $i ++) { $string .= substr( $pool , rand( 0 , 61 ), 1 ); } return md5( $string ); }
    
    
    
    
11. function generateRandomKey( $len = 20 ) { $string = '' ; $pool = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789' ; for ( $i = 1 ; $i < = $len ; $i ++) { $string .= substr( $pool , rand( 0 , 61 ), 1 ); } return md5( $string ); }
    
    
    
    

यह एक वास्तविक रत्न है, जैसा कि लगता है, यह सब कुछ ध्यान केंद्रित करने के लिए लिखा गया था जो एक प्रोग्रामर को नहीं करना चाहिए।

त्रुटि १

Mt_rand () के बजाय रैंड () का उपयोग करना। किसी भी PHP प्रोग्रामर को यह जानना चाहिए।

त्रुटि २

Sha1 () के बजाय md5 () का उपयोग करना। किसी भी PHP प्रोग्रामर को यह जानना चाहिए।

त्रुटि ३

एक 20 कैरेक्टर रैंडम स्ट्रिंग का निर्माण करना, और फिर उसे 32 कैरेक्टर स्ट्रिंग में हैशिंग करना, थोड़ा मूर्खतापूर्ण लगता है। बेशक, हैश में कम अलग-अलग वर्ण हैं, लेकिन फिर भी इनपुट में हमारे पास 7.04423e +35 विभिन्न मूल्य हैं, और आउटपुट में हमारे पास 3.40282e +38 हो सकते हैं।

त्रुटि ४

रैंड () को कई बार कॉल करें। इसका मतलब है कि छद्म यादृच्छिक संख्या जनरेटर कैसे काम करते हैं, इसके लिए एक महान उपेक्षा। स्रोत बदलने तक, यह आसानी से अनुमान लगाना संभव होगा कि पिछली संख्या क्या होगी, यह पिछले वाले पर निर्भर करता है। यह कई फ़ंक्शन कॉल के साथ "अधिक यादृच्छिक" नहीं होगा।

त्रुटि ५

यादृच्छिक संख्याओं का चयन करने के लिए बहुत सीमित सीमा का उपयोग करें। इसके अलावा, यदि आप हैश फ़ंक्शन पर जाने के बाद अल्फ़ान्यूमेरिक वर्णों का चयन क्यों नहीं करते हैं? ऐसा लगता है कि यह बहुत खराब तरीके से सोचा गया है।

त्रुटि ६

Md5 के लिए एक स्ट्रिंग के रूप में सभी मौजूदा इंद्रधनुष तालिकाओं में मौजूद अल्फ़ान्यूमेरिक वर्णों का उपयोग करता है।

त्रुटि 7

कभी chr () के बारे में सुना है?

त्रुटि 8

पहिया को क्यों मजबूत करें? चरम मामलों में, यदि आपके पास इसका कारण है, तो इसके बारे में लिखें (इस फ़ंक्शन को टिप्पणियों की आवश्यकता नहीं है)।



परिणामों की जांच किए बिना भी, किसी भी प्रोग्रामर को पता होना चाहिए कि इस फ़ंक्शन को पूरी तरह से फिर से लिखना चाहिए।



आइए देखें कि इसे कैसे देखना चाहिए था।

1. फ़ंक्शन उत्पन्न
2. {
3. वापसी base_convert (sha1 (uniqid (mt_rand)), सच )), 16 , 36 );
4. }

मुझे यह कैसे मिला? मूल रूप से, PHP के लिए प्रलेखन पढ़ना, और यादृच्छिक संख्या जनरेटर नहीं बनाना, लेकिन एक का उपयोग करना।



Base_convert () का उपयोग करना वास्तव में महत्वपूर्ण नहीं है, मुख्यतः क्योंकि डेटाबेस फ़ील्ड बहुत छोटा था ( sha1 () से कुछ भी नहीं खोया गया है)। वास्तव में, यह sha1 के बिना बेहतर होगा () , हम इसे केवल सुंदरता के लिए उपयोग करते हैं।



uniqueid () mt_rand () से प्राप्त मान लेता है और इसमें एक यादृच्छिक अद्वितीय मान जोड़ता है (लेकिन एक पूर्वानुमेय सीमा में, यह दोनों कार्यों का उपयोग करने के लिए समझ में आता है)। यह PHP प्रलेखन द्वारा अनुशंसित है और यह पर्याप्त से अधिक है।



अब आप शायद खुद से पूछें कि मुझे यह कोड कहां मिला।



सिम्फनी फ्रेमवर्क के लिए फ़ंक्शन sfGuardPlugin और sfDoctrineGuardPlugin में है । यह फ़ंक्शन लगभग शुरुआत से ही है, हालांकि यह बदतर था । ये अब तक आधिकारिक प्रलेखन द्वारा अनुमोदित सबसे अधिक उपयोग किए जाने वाले प्लगइन्स हैं।



इसका क्या मतलब है? कुछ सिस्टमों पर, किसी भी उपयोगकर्ता को जानवर बल का उपयोग करके लॉग इन करना बहुत सरल होगा। या उपयोगकर्ता गलती से किसी अन्य के रूप में लॉग इन कर सकता है, क्योंकि टक्कर की संभावना बहुत अधिक है।



ठीक है, अगर यह वास्तविक है, तो किसी को इस पर ध्यान देना चाहिए! मैं शायद हमलावर नहीं हूं।

वास्तव में, यह है। मुझे एक पुराने डेबियन सर्वर पर यह सब पुन: पेश करने का अवसर मिला, और इस सर्वर पर एक साइट थी जहां उपयोगकर्ताओं ने कई बार शिकायत की कि वे एक अन्य उपयोगकर्ता के रूप में लॉग इन कर रहे थे (मुझे उम्मीद है कि यह सर्वर विफल हो गया था और परियोजना वर्तमान में एक निश्चित पर काम कर रही है समारोह)। मैंने इसे विंडोज एक्सपी के तहत एक वर्चुअल मशीन में चलाने की कोशिश की (क्योंकि यह एक यादृच्छिक संख्या जनरेटर की खामियों के साथ PHP प्राप्त करने का सबसे आसान तरीका था), सफलता के साथ, निश्चित रूप से। चूंकि मुझे इन दोनों मशीनों पर बहुत सारे टकराव मिले, इसलिए सबसे अधिक संभव उन्नत सिस्टम पर भी त्रुटि को कुछ प्रयास के साथ इस्तेमाल किया जा सकता है।



मैं ऐसा क्यों कर रहा हूं?

क्योंकि मैंने छह महीने पहले इसकी सूचना दी थी, लेकिन इस पर थोड़ा ध्यान दिया गया।

मुझे लगता है कि सिम्फनी महान है, लेकिन सुरक्षा खराब है (हालांकि मेरी अन्य टिप्पणियां मानक प्रोग्रामिंग या होस्टिंग प्रथाओं के बारे में अधिक हैं, जो कोड के बजाय सिम्फनी द्वारा प्रेरित हैं)।

---

इस विषय पर, एक और पोस्ट है जहां एक चमत्कार फ़ंक्शन के काम का एक उदाहरण दिया गया है।