7

Criei um subdomínio exclusivo para fornecer dados das minhas tabelas em JSON, o mesmo facilita requisições tanto para a versão mobile quanto para a versão desktop do meu site, porém eu gostaria de proteger tais dados ou pelo ao menos dificultar o acesso aos mesmo, o que eu poderia fazer?

Já pensei em gerar um token de acesso pra validar a requisição no servidor, mas isso invalidaria o cache da página (algo que quero manter), não da pra usar sessions pois estão em domínios diferentes, seria possível pelo ao menos bloquear o acesso direto pela URL?

Também estou testando o método abaixo, mas não estou certo de que é seguro

$origem = $_SERVER['HTTP_ORIGIN'];

if ($origem == "http://www.dominio.com" || $origem == "http://m.dominio.com")
{  
    header("Access-Control-Allow-Origin: $origem");
}

Não acredito que dessa forma seja segura pois os dados ainda são acessíveis através da url direta da api, mesmo que o individuo possa não conseguir fazer requisições ele ainda pode abrir a pagina e copiar os dados gerados.

3
  • Fez algum teste utilizando o header Access-Control-Allow-Origin. ?
    – Maurivan
    Commented 19/04/2017 às 12:40
  • Adicionei um exemplo do que estou usando para tal @Maurivan
    – Leo Letto
    Commented 19/04/2017 às 12:47
  • Tens razão, pela URL ficará acessível. Tente então restringir por $_SERVER['REMOTE_HOST'] ou $_SERVER['REMOTE_ADDR'] já que apenas 2 hosts que terão acesso.
    – Maurivan
    Commented 19/04/2017 às 13:09

2 Respostas 2

3

Resumo: Não há como, não que eu seja pessimista, mas de fato não há como.


Proteção de CSRF:

Se está preocupado de alguém ler o conteúdo, existem duas situações "distintas":

  1. Obter o seu /json.json no lado do cliente, via Javascript/Ajax.
  2. Obter o seu /json.json no lado do "servidor"/"cliente", via cURL/Wget/Webviewer (e "navegadores personalizados").

A primeira situação é mais fácil e de fato "há o que fazer" para impedir:

  1. Adicionar o cabeçalho de Access-Control-Allow-Origin, estrito para o seu website.
    • (Opcional) Adicione o Access-Control-Allow-Headers, limite os cabeçalhos (ex. X-CRSF-TOKEN) que podem ser enviados.
    • (Opcional) Adicione o Access-Control-Allow-Methods, limite os métodos aceitos (ex. GET) assim somente este método será aceito.

Logo poderá utilizar:

header('Access-Control-Allow-Origin: http://www.dominio.com http://m.dominio.com');
header('Access-Control-Allow-Methods: GET');

Recomendo ver esta resposta.

  1. Adicionar um CSRF Token.
    • O CSRF Token deve ser válido apenas para uma única sessão.
    • (Recomendado) O CSRF Token deve ser válido para um único IP.
    • (Opcional) O CSRF Token deve expirá após um único uso.
    • (Opcional) O CSRF Token deve único para cada URL ou para cada seguimento.

Pode ler esta resposta, apensar de descordar e não recomendar o uso do generateRandomString() por ser um LCG.

Medidas pouco eficientes, mas que podem ajudar:

  1. Verificar o Referrer/Origin, são facilmente falsificados.

A segunda situação é impossível de ser corrigida, literalmente, não há como impedir isso, tudo listado acima não é suficiente para impedir o uso de cURL/Wget.

  1. Criar um Rate-Limit, um limite de quantas vezes a página pode ser acessada por segundo por IP (ou faixa de IPv6) é relativamente eficiente, pois exigirá o uso de vários proxies caso deseja obter o conteúdo constantemente, mas lembre-se do CGNAT no IPv4.

  2. Bloquear acesso via TOR e proxies públicos.

Medidas bem menos eficientes, mas que podem ajudar:

  1. Criar um "desafio" em Javascript, como por exemplo o jjencode, o CloudFlare utiliza isto.

Podem haver outros problemas de segurança, que não é o CSRF, como por exemplo o MiTM, XSS, DoS (inclusive o json_decode, padrão, é vulnerável por hash-dos) e entre outros problemas como Side-Channel Attacks, mas isto são outras coisas que não tem relação com a pergunta...

1

Você pode tentar autenticação de acesso básica.

Sirva o JSON somente sobre HTTPS. Daí você utiliza o cabeçalho Authorization para passar credenciais, codificadas com Base64. Segue um exemplo de como ficaria o cabeçalho, tirado diretamente do wiki:

Authorization: Basic QWxhZGRpbjpPcGVuU2VzYW1l

No servidor você extrai as credenciais do cabeçalho e autentica a requisição. Dessa forma somente usuários autenticados terão acesso ao JSON.

Em tempo, pois sempre surge esse comentário: eu sei que Base64 não confere segurança alguma. A segurança está no protocolo HTTPS. O Base64 serve para seguir o padrão desse tipo de autenticação.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .