2

Tenho uma aplicação javascript que roda do lado cliente, nesta aplicação o usuário pode disparar eventos que se comunicam com o servidor do meu site através de uma requisição POST. Porém, preciso garantir que o usuário não tenha forjado os dados preparados por esta minha aplicação. Por exemplo, o usuário pode interceptar a conexão antes que ela saia de sua máquina e alterar os atributos das variáveis que estou passando por POST.

Em outro exemplo: podemos supor que esta variável seja uma pontuação e a informação real é de creditar 10 pontos na conta de um determinado usuário, porém o mesmo pode interceptar esta comunicação, alterá-la e enviar uma falsa requisição para que o servidor credite 1.000 pontos. Não se trata de um erro de validação, pois ambos os valores são numéricos e por isto serão aceitos no servidor, também não se trata de SSL, pois o próprio usuário está agindo de má fé, alterando os dados antes que estes saiam de sua máquina. Como posso validar estes dados para saber se houve manipulação? Já vi alguns sites utilizando-se de hash para isso, mas não entendi bem como isso pode ser feito.

4
  • 1
    Você pode criptografar os dados do lado do cliente e descriptografar no lado do servidor.
    – Alisson
    12/11/2015 às 11:44
  • @Alisson, Exatamente, eu havia pensado nisso utilizando-se do jCryption, pois não posso deixar uma chave simétrica exposta no meu código do lado cliente.
    – DanOver
    12/11/2015 às 11:49
  • 1
    Você pode deixar os métodos todos no lado do servidor, e faz somente "gatilhos" no lado do cliente, com os parâmetros criptografados, qualquer parâmetro que chegue no método e dê falha de conversão, você automaticamente não executa a operação e volta para o cliente 12/11/2015 às 20:53
  • @MiguelNeto, já pensei nisso também, porém acredito que o cliente possa adulterar os dados antes que passem pela criptografia, mas claro que isso não deixa de ser uma barreira a mais, um mero paliativo. Quanto aos gatilhos, caso o cliente burle a criptografia e descubra os gatilhos que envio ao servidor, terei grandes problemas.
    – DanOver
    13/11/2015 às 11:43

2 Respostas 2

5

Informações sensíveis nunca devem depender do client-side¹ porque criptografia em Javascript é inútil.

A transparência oferecida por navegadores atuais tornam todo o seu código e informações legíveis e alteráveis em poucos clicks. Isso não significa que navegadores antigos tornavam a web mais segura. Ao contrário, antigamente era mais fácil um desenvolvedor acreditar que sua aplicação estava segura quando utilizando qualquer tipo de complicação como encryptação JavaScript, aplicação compilada (Flex/Actionscript), entre outros.

Tokens CSRF poderão te auxiliar a evitar que alguém forje uma chamada ao seu servidor a partir de outra fonte (cURL, CORS, etc), mas não irão garantir que as demais informações sendo trafegadas sejam íntegras como esperado.

Você pode utilizar uma combinação de CSRF com SSL/TLS para encriptar a conexão entre o cliente e o servidor, evitando possíveis adulterações nos arquivos javascript e garantindo que a resposta veio de sua aplicação, mas ainda assim não justifica depender do client-side fornecer informações sensíveis.

Atualização

Respondendo ao comentário, qualquer mecanismo de segurança que você possa pensar utilizando Javascript em browsers já foi pensada antes, não trata-se de uma falta de ideia, mas sim da mecânica como o Javascript funciona no navegador. Mesmo que você crie uma chave pública pelo servidor para que o cliente utilize essa chave e você garanta que a informação foi criptografada utilizando uma chave válida, o usuário final ainda possui a informação antes e depois de criptografá-la. A mesma facilidade de forjar dados que não representam a realidade com e sem tal mecanismo é a mesma, pois o cliente só ira adulterar a informação antes dela ser criptografada.

Se você está dependendo de informação segura do seu client, você precisa repensar sua forma de aplicação.

  • Qual ação o cliente realiza que lhe garante direito a pontos?
  • Quem tem obrigação financeira para com a criação dessa pontuação?
  • São multiplas ações, cada qual com um valor de pontuação diferente?
  • Uma mesma ação poderá acarretar em pontuações diferentes?
  • Uma pessoa é capaz de adquirir pontos enquanto off-line e sincronizar quando on-line?

Cada pergunta que você conseguir pensar sobre seu modelo poderá especificar melhor onde está seu problema. Se seu cliente ganha pontos off-line, você precisa pensar em formas de cupons, tais que um cupom tem um código gerado que torna-o matematicamente improvável que alguém conseguirá "achá-lo" aleatoriamente. Se seu cliente ganha pontos ao realizar uma compra, talvez seja de competência do próprio estabelecimento garantir a autenticidade da informação. Se uma ação específica só é capaz de gerar uma quantidade de pontos específico, essa pontuação pode ser armazenada do lado do servidor.

7
  • 1
    Concordo totalmente. A lógica de pontuação deve ser processada no lado do servidor e não no lado do cliente. O servidor deve receber os dados básicos para definir a pontuação, calcular e só assim registrar.
    – marcusagm
    13/11/2015 às 0:58
  • 1
    muito boa observação, mas poderia falar mais um pouco sobre o uso e funcionamento dos Tokens CSRF? (conceito) 13/11/2015 às 1:37
  • @marcusagm, esse meu exemplo da pontuação foi baseado em observações reais e acredite, existe muitas aplicações registrando pontuação no lado cliente e enviando tudo "mastigado" para o servidor.
    – DanOver
    13/11/2015 às 11:39
  • 1
    @DanOver Pois é, infelizmente tem, mas isso não torna essa pratica correta. Já peguei muito sistema pra corrigir por causa disso, seja por que o cliente queria melhorar a segurança ou mesmo porque o javascript calculava errado em alguns casos... Fazer o que tem gente que não aprende e martela no mesmo erro.
    – marcusagm
    13/11/2015 às 11:52
  • 1
    @DanOver editei a resposta para refletir sua sugestão. 13/11/2015 às 14:27
0

Segue uma dica que pode ser útil:

Os dados que você enviar para o seu formulário, salve eles em uma sessão

Você preenchera os valores abaixo com os dados que virão do banco, que ficara assim:

$_SESSION['esperado'] = ['preco' => '1000', 'quantidade' => '1', 'desconto' => '10'];

E então quando receber a submissão, verifique se nada de importante foi alterado

$dadosRecebidos = [
    'preco'      => $_POST['preco'],
    'quantidade' => $_POST['quantidade'],
    'desconto'   => $_POST['desconto']
];

$diferenca = array_diff($_SESSION['esperado'], $dadosRecebidos);

 if ( $diferenca) {
    throw new Exception("Os dados foram alterados");
}

Dependendo do caso, ao invés de salvar os dados em uma sessão, você também pode salvar no banco, e fazer a mesma verificação quando o formulário for submetido

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .