Desenvolvendo Código Seguro com Zend Framework

FGSL: É permitida a reprodução deste material desde que citada a fonte

Desenvolvendo Código Seguro com Zend Framework

Flávio Gomes da Silva [email protected]

www.fgsl.eti.br

mailto:[email protected]


Agenda

● Quem sou eu (1 slide)● Colocando medo em seus corações● Zend Framework● Filtros e validadores● Listas de controle de acesso● Autenticação


Quem sou eu


Colocando medo em seus corações

SUA APLICAÇÃO

ESTÁ SEGURA?

http://pt.wikipedia.org/wiki/Azrael_(DC_Comics)

http://pt.wikipedia.org/wiki/Azrael_(DC_Comics


Questões

A segurança é opcional?

Podemos ter segurança total?

Soluções de segurança têm efeito permanente?

Segurança custa pouco?


Segurança em camadas

Princípio NOT Goonies

“What's good enough for you is good enough for me?”

Se a segurança importa, a resposta é

NO!


Certezas

A segurança nunca será suficiente.

A segurança custa caro.

A segurança não garante nenhum retorno, mas sua falta pode causar prejuízos.

Sistemas mais seguros = menos amigáveis (e às vezes menos performáticos)


Código seguro

Código Seguro não é um código de segurança ou um código que implementa

os recursos de segurança.

Código Seguro é um código projetado para suportar ataques por invasores mal-

intencionados.

Um Código Seguro também é um código robusto.


Resistências encontradas

A segurança é entediante.

A segurança costuma ser vista como um desativador de funcionalidades, como algo que atrapalha.

A segurança é difícil de medir.

Normalmente, a segurança não é principal habilidade ou interesse dos projetistas e desenvolvedores que

criam o produto.

A segurança não significa criar algo novo e animador.


Código seguro: necessidade constante

O´Reilly Media All Rights Reserved

Como seria maravilhoso se houvesse uma infra-estrutura de software que provesse funcionalidades mínimas que auxiliassem a implementação de código seguro...


Ou seja:


Segurança como parte da infraestrutura


Já quer ir embora?

http://pt.wikipedia.org/wiki/Espectro_(DC_Comics)

ESPERE! AINDA NÃO ESTÁ

CONVENCIDO DA IMPORTÂNCIA DO

CÓDIGO SEGURO?

http://pt.wikipedia.org/wiki/Espectro_(DC_Comics


Mitos da construção de programas

►Ninguém fará isso!

►Por que alguém faria isso?

►Nunca fomos atacados.

►Estamos seguros – utilizamos criptografia.

►Revisamos o código e não há bugs de segurança.



►Sabemos que é o default, mas o administrador pode desativá-lo.

►Se não executarmos como administrador, as coisas quebram.

►Mas não cumpriremos os prazos!

►Não é explorável.



►Mas essa é a maneira como sempre fizemos isso.

►Se pelo menos tivéssemos ferramentas melhores...


A Vantagem do Invasor e o Dilema do Defensor

1º O defensor deve defender todos os pontos; o invasor pode escolher o ponto mais fraco.

http://pt.wikipedia.org/wiki/Homem-Aranha

http://pt.wikipedia.org/wiki/Homem-Aranha



2º O defensor pode se defender somente de ataques conhecidos; o invasor pode investigar vulnerabilidades desconhecidas.



3º O defensor deve estar constantemente vigilante; o invasor pode atacar a qualquer momento.



4º O defensor deve jogar de acordo com as regras; o invasor pode jogar sujo.


PHP: Poder e Responsabilidade

“Ben Parker avisou uma vez seu jovem sobrinho Peter Peter, cujo alter-ego super-herói é o Homem-Aranha, que 'com um grande poder, vem uma grande responsabilidade'.



Assim é com a segurança em aplicações PHP. O PHP fornece um rico conjunto de ferramentas com imenso poder – alguns têm argumentado que talvez seja muito poder – e este poder, quando usado comcuidadosa atenção aos detalhes, permite a criação de aplicações complexas e robustas.



Por outro lado, sem essa atenção para os detalhes, usuários maliciosos podem usar o poder do PHP para seus próprios interesses, atacando aplicações de várias formas.”

Fonte: Zend PHP 5 Certification Study Guide


Falha de segurança: mito do PHP

A maior fraqueza na maioria dos programas PHP não é inerente a linguagem em si, mas meramente um problema de código escrito desconsiderando a segurança.


Falha de segurança: mito do PHP

Por essa razão, você sempre deve investir um pouco de tempo considerando as implicações de um certo pedaço de código, para ter certeza do dano possível se uma variável não esperada for submetida aomesmo.

Fonte: Manual do PHP – www.php.net


Toda entrada está doente

►Se o dado se origina de uma fonte externa, ele não pode ser confiável.

►Não temos certeza de os dados contém caracteres que podem ser executados no contexto errado.

►Dados de todas as matrizes superglobais, exceto $_SESSION devem ser considerados doentes.



CONCLUSÃO: Todo dado deve ser filtrado.

Fonte: Zend PHP 5 Certification Study Guide



Como seria maravilhoso se houvesse um componente

que ajudasse a filtrar os dados de entrada...


Injeção de XML

/* * Sem filtro * A diretiva magic_quotes_gpc insere barras * à esquerda de aspas, evitando a interpretação * de atributos HTML. * Mas não impede o efeito do restante. * ini_set() não tem efeito, pois os dados são * passados ANTES. A configuração já tem de estar * no arquivo php.ini, ou ser modificada pelo * .htaccess do Apache Web Server.*/foreach ($_GET as $parametro => $valor){

echo "$parametro = $valor";}


Injeção de XML

require('Zend/Filter/HtmlEntities.php');

// Com filtro$entrada = new Zend_Filter_HtmlEntities();

foreach ($_GET as $parametro => $valor){

echo "$parametro = {$entrada>filter($valor)}";}


Filtros do Zend Framework

Zend_Filter_AlnumZend_Filter_AlphaZend_Filter_BaseNameZend_Filter_DigitsZend_Filter_DirZend_Filter_HtmlEntitiesZend_Filter_IntZend_Filter_RealPathZend_Filter_StripNewLinesZend_Filter_StringToLowerZend_Filter_StringToUpperZend_Filter_StringTrimZend_Filter_StripTags



Mas e se eu precisar de mais de um

filtro, ao mesmo tempo?

require('Zend/Filter.php');require('Zend/Filter/StringToLower.php');require('Zend/Filter/Word/CamelCaseToDash.php');

// Combinação de Zend_Filter_Word_CamelCaseToDash// e Zend_Filter_StringToLower$filtro = new Zend_Filter();// Interface fluente$filtro>addFilter(new Zend_Filter_Word_CamelCaseToDash())

>addFilter(new Zend_Filter_StringToLower());

foreach ($_GET as $parametro => $valor){

echo "Com Filtro:";echo "$parametro = {$filtro>filter($valor)}";echo " ";echo "Sem Filtro:";echo "$parametro = $valor";

}


Filtros e Validadores do Zend Framework

Como seria maravilhoso se a gente pudesse

aplicar vários filtros e regras de validação a

um conjunto de dados de uma

vez...



Processador de

Filtros e

Validadores

SEUS PROBLEMAS ACABARAM!

http://pt.wikipedia.org/wiki/Legi%C3%A3o_dos_Super-Her%C3%B3is

http://pt.wikipedia.org/wiki/Legi?o_dos_Super-Her?is



Filtros transformam os dados, deixando passar apenas o que interessa.

Regras de validação não transformam os dados; apenas verificam se eles se atendem a um critério.

Se isso não ficar claro, ficará confuso compreender por que um dado com uma regra de validação Digits só será válido se passar pelo filtro Digits.



require('Zend/Filter/Input.php');

$filtros = array('dia' => Digits,'mes' => Digits,'ano' => Digits,'nome' => HtmlEntities

);

$validadores = array('dia' => Digits,'mes' => Digits,'ano' => Digits,'nome' => Alpha

);

$dados = new Zend_Filter_Input($filtros,$validadores,$_GET);

echo 'Com filtro: ';echo "dia = {$dados>dia} ";echo "mes = {$dados>mes} ";echo "ano = {$dados>ano} ";echo "nome = {$dados>nome} ";

echo 'Sem filtro: ';foreach ($_GET as $nome => $dado){

echo "$nome = $dado ";}


Filtros e Validadores do Zend Framework: Parâmetros

$regraAno = array(Digits,array('Between',1,12)

);

$validadores = array('dia' => Digits,'mes' => Digits,'ano' => $regraAno,'nome' => Alpha

);


Filtros e Validadores do Zend Framework: Genéricos

$filtros = array('*' => Digits,

);

$validadores = array('*' => Digits,

);


Filtros e Validadores do Zend Framework: Metacomandos

$validadores = array('nome' => array(

'Alpha', 'presence' => required'), 'senha' => array(

'StringEquals', 'default' => 12345, 'fields' => array(

'senha1', 'senha2'))

);


Filtros e Validadores do Zend Framework: Metacomandos

$validadores = array('endereco' => array(

'Alnum', 'allowEmpty' => true), 'senha' => array(

'StringEquals', 'fields' => array(

'senha1', 'senha2'),

'messages' => 'As senhas devem ser iguais!'));


Filtros e Validadores do Zend Framework: Métodos

IsValid() ou isValid($campo)

hasValid()hasMissing()hasUnknown()

getMessages() = getInvalid() + getMissing()getUnknown()

getEscaped()getUnescaped()


Listas de controle de acesso

QUEM É VOCÊ, O

QUE VOCÊ QUER E

PARA QUEM VOCÊ

TRABALHA?

http://pt.wikipedia.org/wiki/Batman

http://pt.wikipedia.org/wiki/Batman



Uma lista de controle de acesso define papéis, recursos e as permissões dos papéis para os recursos.

Em suma, quem pode fazer o quê.

Papel não é grupo nem usuário. Esses dois podem exercer um ou mais papéis e um papel pode ser exercido por um ou mais usuários e grupos.

O ZF não implementa usuário e grupos.



No Zend Framework:

Um recurso é um objeto cujo acesso é controlado;

Um papel é um objeto que pode requisitar acesso a um recurso.

Colocando de forma simples, papéis requisitam acesso a recursos, ou, de outra forma, papéis requisitam autorização a recursos.


Listas de controle de acesso: recursos

require('Zend/Acl/Resource.php');

$recurso = new Zend_Acl_Resource('impressao');


Listas de controle de acesso: recursos

require('Zend/Acl/Resource.php');

class Impressao implements Zend_Acl_Resource_Interface {private $_id;public function getResourceId(){return $this>_id;

}}


Listas de controle de acesso: papéis

require('Zend/Acl/Role.php');

$papel = new Zend_Acl_Role('administrador');



require('Zend/Acl.php');require('Zend/Acl/Role.php');

$acl = new Zend_Acl();

$acl>addRole(new Zend_Acl_Role('administrador'))>addRole(new Zend_Acl_Role('membro'))>addRole(new Zend_Acl_Role('convidado'));


Listas de controle de acesso: papéis

require('Zend/Acl.php');require('Zend/Acl/Role.php');



$pais = array('administrador','membro','convidado');

$acl>addRole(new Zend_Acl_Role('superusuario'),$pais);


Listas de controle de acesso: adicionando recursos

require('Zend/Acl.php');require('Zend/Acl/Resource.php');


$recurso = new Zend_Acl_Resource('cadastro');

$acl>add($recurso);


Listas de controle de acesso: permissões

require('Zend/Acl.php');require('Zend/Acl/Resource.php');require('Zend/Acl/Role.php');



$acl>add(new Zend_Acl_Resource('cadastro'));

$acl>allow('administrador','cadastro');$acl>deny('convidado','cadastro');


Listas de controle de acesso: permissões


$acl>allow('administrador','cadastro');$acl>deny('convidado','cadastro');

echo 'Acesso '.($acl>isAllowed('administrador','cadastro') ? 'permitido' : 'negado');echo 'Acesso '.($acl>isAllowed('convidado','cadastro') ? 'permitido' : 'negado');echo 'Acesso '.($acl>isAllowed('membro','cadastro') ? 'permitido' : 'negado');


Listas de controle de acesso: privilégios

Existem duas possibilidades com relação a permissão. Ela pode ser dada para o recurso como um todo ou para um conjunto de privilégios que o papel tem sobre o recurso.

Quando não definimos privilégios, estamos implicitamente usando um único privilégio, que é o mero acesso ao recurso.


Listas de controle de acesso: privilégios

require('Zend/Acl.php');require('Zend/Acl/Resource.php');require('Zend/Acl/Role.php');


$acl>addRole(new Zend_Acl_Role('membro'));


$acl>allow('membro','cadastro',array('editar','ver'));$acl>deny('membro','cadastro',array('incluir','excluir'));

echo 'Acesso '.($acl>isAllowed('membro','cadastro','ver') ? 'permitido' : 'negado');echo 'Acesso '.($acl>isAllowed('membro','cadastro','excluir') ? 'permitido' : 'negado');


Autenticação

Autenticar significa verificar se alguém é quem diz ser baseado em uma série de credenciais.

Autenticação é diferente de autorização. Autorização é o processo de decidir se uma entidade pode acessar ou executar operações sobre outras entidades. É implementada com Zend_Acl


Autenticação

O componente Zend_Auth usa o padrão de projeto Adapter para autenticar contra um tipo particular de serviço de autenticação, tal como:

●LDAP●SGBD●Armazenamento baseado em arquivos


Autenticação

$registry = Zend_Registry::getInstance();try{

$post = $registry['post'];$matricula = (int)$post>cpf;$senha = $post>senha;$usuarios = new Usuarios();

$authAdapter = new Zend_Auth_Adapter_DbTable($usuarios>getAdapter());


Autenticação

$authAdapter>setTableName('usuarios')>setIdentityColumn('cpf')>setCredentialColumn('senha');

$authAdapter>setIdentity($cpf);$authAdapter

>setCredential(Usuarios::criptografar($senha));


Autenticação

$resultado = $authAdapter>authenticate();

if ($resultado>isValid()){

$registry['session']>dataAuth = $authAdapter>getResultRowObject();

Zend_Registry::set('session',$registry['session']);

$this>_redirect('/index/menu');}


Autenticação

else{

$mensagens = '';foreach ($resultado>getMessages() as

$mensagem){

$mensagens .= $mensagem;}$registry['session']>mensagem =

$mensagens;Zend_Registry::set('session',

$registry['session']);


Autenticação

$this>_redirect('/index/index');}

}catch (Exception $e){

$registry['session']>mensagem = $e>getMessage();

Zend_Registry::set('session',$registry['session']);

$this>_redirect('/index/index');}


Segurança no acesso ao banco

Um dos problemas de segurança envolvendo banco de dados é a injeção de SQL através da entrada de dados da aplicação.

O componente Zend_Db e suas extensões oferecem métodos que permitem barrar tentativas de adulterar declarações SQL.


Segurança no acesso ao banco

Faltou MUITA COISA! Este foi apenas um tópico dentro do tema frameworks.

Quando você ver segurança em um contexto mais amplo, certamente perguntará COMO resolver tantos problemas. Aí ficará evidente a necessidade de frameworks... de segurança!


Fontes de consulta

● Documentação on-line (en, fr, de, jp, cn...)● Comunidade● Fóruns, listas de discussão, IRC (#zftalk)www.zfbrasil.com ● Livros disponíveis em português (agora, né)

http://www.zfbrasil.com/

Referências

Galvão, E. A. PHP & Segurança: Uma União Possível. Disponível em <http://www.galvao.eti.br> em 02/05/2007.

Howard, M. E Leblanc, D. Escrevendo Código Seguro. 2. ed. Porto Alegre. Bookman, 2006.

Pessoa, M. Segurança em PHP. São Paulo. Novatec, 2007.

http://framework.zend.com

http://www.galvao.eti.br/


Foi uma

grande honra!

http://pt.wikipedia.org/wiki/Lanterna_Verde

2011 coming soon..

Obrigado

http://pt.wikipedia.org/wiki/Lanterna_Verde

Desenvolvendo Código Seguro com Zend Framework

Technology

Transcript of Desenvolvendo Código Seguro com Zend Framework