Web2py - bezpieczeństwo
W poprzednich rozdziałach była pełna informacja na temat implementacji web2py z różnymi narzędziami. Głównym problemem przy tworzeniu aplikacji web2py jest bezpieczeństwo z perspektywy użytkownika.
Unikalne cechy web2py są następujące -
Użytkownicy mogą łatwo nauczyć się implementacji. Nie wymaga instalacji i zależności.
Jest stabilny od dnia premiery.
Platforma web2py jest lekka i zawiera biblioteki warstwy abstrakcji danych i języka szablonów.
Działa za pomocą interfejsu bramy serwera sieci Web, który działa jako komunikacja między serwerami sieciowymi a aplikacjami.
Projekt Open Web Application Security Project (OWASP) to społeczność, która wymienia naruszenia bezpieczeństwa aplikacji internetowych.
Naruszenia bezpieczeństwa
W odniesieniu do OWASP, kwestie związane z aplikacjami internetowymi i sposobem, w jaki web2py je pokonuje, omówiono poniżej.
Skrypty krzyżowe
Jest również znany jako XSS. Występuje za każdym razem, gdy aplikacja pobiera dane dostarczone przez użytkownika i wysyła je do przeglądarki użytkownika bez kodowania lub sprawdzania zawartości. Osoby atakujące wykonują skrypty, aby wstrzyknąć robaki i wirusy za pomocą skryptów krzyżowych.
Platforma web2py pomaga w zapobieganiu XSS, zapobiegając wszystkim renderowanym zmiennym w View.
Wyciek informacji
Czasami aplikacje ujawniają informacje o wewnętrznych działaniach, prywatności i konfiguracjach. Atakujący wykorzystują to do naruszenia poufnych danych, co może prowadzić do poważnych ataków.
Platforma web2py zapobiega temu dzięki systemowi sprzedaży biletów. Rejestruje wszystkie błędy, a bilet jest wydawany użytkownikowi, którego błąd jest rejestrowany. Te błędy są dostępne tylko dla administratora.
Uszkodzone uwierzytelnianie
Poświadczenia konta często nie są chronione. Atakujący przechwytują hasła, tokeny uwierzytelniające w celu kradzieży tożsamości użytkownika.
Platforma web2py udostępnia mechanizm interfejsu administracyjnego. Wymusza również używanie bezpiecznych sesji, gdy klient nie jest „lokalnym hostem”.
Niezabezpieczona komunikacja
Czasami aplikacje nie mogą zaszyfrować ruchu sieciowego. Aby chronić wrażliwą komunikację, konieczne jest zarządzanie ruchem.
Platforma web2py zapewnia certyfikaty z włączonym protokołem SSL w celu zapewnienia szyfrowania komunikacji. Pomaga to również w utrzymaniu wrażliwej komunikacji.
Ograniczenie dostępu do adresów URL
Aplikacje internetowe zwykle chronią poufne funkcje, uniemożliwiając niektórym użytkownikom wyświetlanie łączy i adresów URL. Atakujący mogą próbować naruszyć niektóre poufne dane, manipulując w adresie URL pewnymi informacjami.
W wb2py adres URL odwzorowuje moduły i funkcje, a nie podany plik. Zawiera również mechanizm, który określa, które funkcje są publiczne, a które są utrzymywane jako prywatne. Pomaga to w rozwiązaniu problemu.