Web2py - Segurança
Nos capítulos anteriores, havia informações completas sobre a implementação do web2py com várias ferramentas. A principal preocupação no desenvolvimento de aplicativos web2py inclui a segurança da perspectiva do usuário.
Os recursos exclusivos do web2py são os seguintes -
Os usuários podem aprender a implementação facilmente. Não requer instalação e dependências.
Ele está estável desde o dia do lançamento.
web2py é leve e inclui bibliotecas para camada de abstração de dados e linguagem de modelo.
Funciona com a ajuda da Web Server Gateway Interface, que atua como uma comunicação entre servidores web e aplicativos.
Open web application security project (OWASP) é uma comunidade que lista as violações de segurança de aplicativos da web.
Brechas de segurança
Com relação ao OWASP, as questões relacionadas aos aplicativos da web e como o web2py as supera são discutidas a seguir.
Cross Side Scripting
Também é conhecido como XSS. Isso ocorre sempre que um aplicativo pega os dados fornecidos pelo usuário e os envia para o navegador do usuário sem codificar ou validar o conteúdo. Os invasores executam scripts para injetar worms e vírus usando cross side scripting.
web2py ajuda a prevenir XSS, impedindo todas as variáveis renderizadas no View.
Vazamento de informação
Às vezes, os aplicativos vazam informações sobre o funcionamento interno, privacidade e configurações. Os invasores usam isso para violar dados confidenciais, o que pode levar a ataques sérios.
web2py evita isso através do sistema de tickets. Ele registra todos os erros e o ticket é emitido ao usuário cujo erro está sendo registrado. Esses erros são acessíveis apenas ao administrador.
Autenticação Quebrada
As credenciais da conta nem sempre são protegidas. Os invasores comprometem as senhas e os tokens de autenticação para roubar as identidades do usuário.
web2py fornece um mecanismo para interface administrativa. Também força o uso de sessões seguras quando o cliente não é “localhost”.
Comunicações Inseguras
Às vezes, os aplicativos não conseguem criptografar o tráfego da rede. É necessário gerenciar o tráfego para proteger as comunicações confidenciais.
web2py fornece certificados habilitados para SSL para fornecer criptografia de comunicações. Isso também ajuda a manter uma comunicação sensível.
Restrição no acesso ao URL
Os aplicativos da Web normalmente protegem a funcionalidade sensível, impedindo a exibição de links e URLs para alguns usuários. Os invasores podem tentar violar alguns dados confidenciais, manipulando o URL com algumas informações.
Em wb2py, um URL mapeia para os módulos e funções em vez do arquivo fornecido. Também inclui um mecanismo que especifica quais funções são públicas e quais são mantidas como privadas. Isso ajuda a resolver o problema.