Ajax Security (espero)

Question

Estoy construyendo un juego de navegador y estoy usando una gran cantidad de ajax en lugar de actualizaciones de página. Estoy usando php y javascript. Después de mucho trabajo noté que ajax no es exactamente seguro. Las amenazas que me preocupan es decir que alguien quiere buscar información de alguien en mi servidor SQL, solo necesitan ingresar la información correcta en mi archivo .php asociado con mis llamadas ajax. Estaba usando GET style ajax calls, lo cual era una mala idea. De todos modos, después de una gran cantidad de investigaciones, tengo las siguientes medidas de seguridad en su lugar. Cambié a POST (que no es realmente más seguro pero es un deterent menor). También he referido en su lugar, que una vez más se puede fingir, pero nuevamente es otro elemento de disuasión.

La medida final que tengo en el lugar y es el foco de esta pregunta, cuando mi sitio web está cargado tengo una clave hexadecimal de 80 caracteres generada y guardada en la sesión, y cuando envío la llamada ajax también estoy enviando el desafío clave en la forma de

challenge= <?php $_SESSION["challenge"]; ?> 

ahora cuando el archivo php ajax lea esto se comprueba para ver si el desafío enviado matchs el reto sesión. Ahora esto por sí solo no haría mucho porque simplemente puede abrir firebug y ver qué desafío se envía fácilmente. Entonces, lo que estoy haciendo es que una vez que se utiliza el desafío, genera uno nuevo en la sesión.

Así que mi pregunta es qué tan seguro es esto de donde se ve que solo se podía ver cuál era la clave de desafío después de que se envió y luego se renueva y no pudieron volver a verla hasta que se envió, por lo que no es posible para enviar una solicitud falsa de otra fuente. Entonces, ¿alguien ve un agujero en el bucle de este método de seguridad o tiene pensamientos o ideas adicionales?

Answer 1

Ver la respuesta por 'meagar'.

me gustaría mencionar:

pasando alrededor de un identificador en la sesión, que estás haciendo lo que la sesión ya está haciendo. Generalmente hay una cookie con un identificador único similar al que está generando, que le dice a su aplicación, esencialmente, quién es esa persona. Así es como funcionan las sesiones de PHP, en general.

Lo que tendría que hacer, en este caso, es comprobar que para una determinada solicitud - Publique o GET - que el usuario particular (cuyo único identificador de usuario, o similares, se almacena en la Sesión) tiene permiso para agregar/cambiar/eliminar/lo que sea con esa solicitud en particular.

Por lo tanto, para una solicitud de "búsqueda", solo devolverá los resultados que el usuario X tiene permiso para ver. De esta forma, no te preocupes por lo que envían: si el usuario no tiene permiso para hacer algo, el sistema sabe que no debe permitir que lo haga.

Por lo tanto, "debe estar autenticando todas las solicitudes".

Alguien puede agregar algo a esto.

Answer 2

Tu definición de "seguro" es vaga. Pareces menos interesado en evitar que se intercepten datos, y más interesado en evitar que las personas envíen solicitudes personalizadas a tu servidor. Eso no es seguridad, es solo un buen diseño de la aplicación: su programa no debe aceptar solicitudes que provoquen la ruptura del estado interno. No hay absolutamente nada que pueda hacer para evitar que las personas envíen los datos que deseen. La solución es validar los datos que envían en el lado del servidor, no para tratar de evitar que envíen datos del lado del cliente, que siempre fallará.

me cambiaron a POST

Usted no debe molestarse; eso no tiene nada que ver con la seguridad. Use el verbo HTTP apropiado para la solicitud. ¿Estás consultando información? Use una solicitud de obtención. ¿Estás actualizando/insertando/eliminando información? Usa la publicación

que alguien desea consultar la información de alguien en mi servidor SQL que acababan hay que introducir información correcta a mi archivo .php asociado

Usted debe autenticar todas las solicitudes para asegurarse de que tener acceso a los datos que están consultando. SSL lo ayudará a realizar la autenticación de forma segura.

cuando mi sitio web está cargado tengo una llave hexagonal de 80 Char genera y se guarda en la sesión, y cuando im enviar la llamada ajax También estoy enviando el desafío clave

Esto no va ayudar. La premisa completa de su pregunta parece ser que el usuario tiene Firebug o una herramienta de depuración HTTP similar instalada. Si lo hacen, la clave de sesión se vuelve inútil.

Answer 3

function mysqlRequest(type,server,name,value,sync){ 
    $.ajax({ 
      type: 'POST', 
     url: 'sql.php', 
     data: "server=s"+server+"&type="+type+"&name="+name+"&value="+value+"&challenge=<?php echo $_SESSION['challenge']; ?>", 
     cache: false, 
     dataType: 'json', 
     async: sync, 
     success: function(data){ 
      }, 
     complete: function(){}