Web programiranje → Osnove weba → Bezbednost web aplikacija: osnove

Bezbednost web aplikacija: osnove

HTTPS i sertifikati

Bez HTTPS-a podaci putuju kao razglednica – svako na putu (npr. u javnoj Wi-Fi mreži) može da ih pročita. HTTPS ih šifruje protokolom TLS i dokazuje da je server pravi:

• server ima sertifikat koji je potpisalo poverljivo telo (npr. besplatni Let's Encrypt);
• pregledač proverava sertifikat i prikazuje katanac; ako nešto ne valja – upozorenje preko cele strane;
• katanac znači da je veza sigurna, a ne da je sajt pošten – i lažni sajtovi imaju HTTPS.

Lozinke se ne čuvaju – čuva se heš

Ispravna aplikacija ne zna tvoju lozinku. U bazi čuva heš: rezultat jednosmerne funkcije iz koje se lozinka ne može vratiti. Pri prijavi se heš upisane lozinke poredi sa sačuvanim.

import hashlib, os

def napravi_hes(lozinka, so=None):
    so = so or os.urandom(16)                                  # slučajna "so" za svakog korisnika
    h = hashlib.pbkdf2_hmac("sha256", lozinka.encode(), so, 200_000)
    return so, h

so, sacuvan = napravi_hes("tajna123")          # pri registraciji: u bazu idu so i heš
_, provera = napravi_hes("tajna123", so)       # pri prijavi: isti postupak sa istom solju
print(provera == sacuvan)                      # True – lozinka je ispravna
_, pogresna = napravi_hes("tajna124", so)
print(pogresna == sacuvan)                     # False

„So“ (salt) obezbeđuje da dva korisnika sa istom lozinkom imaju različit heš, a mnogo ponavljanja (200 000) usporava napadača koji pogađa lozinke. Framework-ovi (Django, ASP.NET Core Identity) ovo rade sami – ne treba pisati svoje.

Najčešći napadi

Spisak najvažnijih rizika web aplikacija redovno objavljuje organizacija OWASP (Top 10).

Primer: SQL injekcija i ispravan upit

import sqlite3

baza = sqlite3.connect(":memory:")
baza.execute("CREATE TABLE korisnici (ime TEXT, lozinka_hes TEXT)")
baza.execute("INSERT INTO korisnici VALUES ('ana', 'x1'), ('marko', 'x2')")

unos = "nepostojeci' OR '1'='1"          # zlonamerni unos iz forme

# POGREŠNO: tekst korisnika postaje deo SQL komande
upit = f"SELECT ime FROM korisnici WHERE ime = '{unos}'"
print("ranjivo:", baza.execute(upit).fetchall())

# ISPRAVNO: parametar (?) – baza ga tretira samo kao podatak
print("bezbedno:", baza.execute("SELECT ime FROM korisnici WHERE ime = ?", (unos,)).fetchall())

Ranjivi upit je vratio sve korisnike, jer je uslov postao „ime = 'nepostojeci' ILI 1 = 1“, a to je uvek tačno. Parametrizovani upit traži korisnika baš sa tim (čudnim) imenom – i ne nalazi ga.

Pravila za svakog programera

1. Ne veruj ulazu. Sve što dolazi iz pregledača (forme, URL, kolačići, zaglavlja) može biti izmenjeno – proveri na serveru.
2. Najmanja prava. Korisnik i program dobijaju samo onoliko pristupa koliko im treba.
3. Tajne van koda. Lozinke baze i API ključevi idu u podešavanja servera (promenljive okruženja), ne u kod na GitHub-u.
4. Ažuriraj. Framework-ovi i biblioteke redovno dobijaju bezbednosne zakrpe.
5. Koristi gotova rešenja. Prijava, heširanje i zaštita formi već postoje u framework-u – ne izmišljaj svoje.

Proveri znanje