Топ-10 актуальних вразливостей OWASP та їх усунення за допомогою Spring і Hibernate

💡 Усі статті, обговорення, новини про Java — в одному місці. Приєднуйтесь до Java спільноти!

Привіт, я Валентин Вівчарик і сьогодні хочу поділитися з вами інформацією про те, як зробити застосунок на java більш безпечним з погляду OWASP.

Що ж таке OWASP (Open Web Application Security Project)? Це глобальна спільнота, спрямована на покращення безпеки вебзастосунків. OWASP надає безліч ресурсів, включно з інструментами, документацією та керівництвом, які допомагають розробникам зрозуміти та протидіяти найпоширенішим загрозам.

Одним із найвідоміших ресурсів OWASP є OWASP Top 10 — список найбільш критичних вразливостей у вебзастосунках. Про них ми сьогодні й поговоримо.

Ін’єкції

• Проблема: ін’єкції, як-от SQL, NoSQL, OS і LDAP, дозволяють зловмисникам виконувати довільні команди або отримувати несанкціонований доступ до даних.
• Spring + Hibernate: Hibernate за замовчуванням захищає від SQL-ін’єкцій, використовуючи параметризовані запити.

// Використання HQL

Query query = session.createQuery("FROM User WHERE username = :username AND password = :password");

query.setParameter("username", username);

query.setParameter("password", password);

List<User> users = query.list();

• Spring Data JPA:

// Використання Spring Data JPA Repository

@Query("SELECT u FROM User u WHERE u.username = :username AND u.password = :password")

User findByUsernameAndPassword(@Param("username") String username, @Param("password") String password);

Компрометація аутентифікації

• Проблема: недоліки в аутентифікації можуть призвести до крадіжки облікових даних та несанкціонованого доступу.
• Spring Security дозволяє легко впровадити двофакторну аутентифікацію (2FA) та безпечне управління сесіями.
  
  
  

  @Configuration
  public class SecurityConfig extends WebSecurityConfigurerAdapter {
      @Override
      protected void configure(HttpSecurity http) throws Exception {
          http
              .authorizeRequests()
                  .antMatchers("/admin/**").hasRole("ADMIN")
                  .antMatchers("/**").permitAll()
                  .and()
              .formLogin()
                  .loginPage("/login")
                  .permitAll()
                  .and()
              .logout()
                  .permitAll();
      }
  }
  

• Двофакторну аутентифікацію можна впровадити, використовуючи додаткові бібліотеки, як-от Google Authenticator.

Розкриття конфіденційних даних

• Проблема: недостатньо захищені дані можуть бути доступні для зловмисників.
• Spring Security: використовуйте шифрування за допомогою Spring Security Crypto Module:
  
  
  

  @Bean
  public TextEncryptor textEncryptor() {
      return Encryptors.queryableText("password", "5c0744940b5c369b");
  }
  

• Шифруйте конфіденційні дані, використовуючи Hibernate Envers або інші бібліотеки шифрування.

XML External Entities (XXE)

• Проблема: уразливості у XML-парсерах дозволяють виконувати довільні команди.
• Spring Framework: Spring використовує бібліотеку Jackson для парсингу XML, яка за замовчуванням захищає від XXE. Ви можете також додатково вимкнути зовнішні сутності:
  
  
  

  @Bean
  public XmlMapper xmlMapper() {
      XmlMapper xmlMapper = new XmlMapper();
      xmlMapper.getFactory().getXMLInputFactory().setProperty(XMLInputFactory.SUPPORT_DTD, false);
      return xmlMapper;
  }
  

Компрометація контролю доступу

• Проблема: недостатній контроль доступу дозволяє зловмисникам обійти авторизацію.
• Spring Security: реалізуйте перевірку доступу за допомогою анотацій:
  
  
  

  @PreAuthorize("hasRole('ADMIN')")
  public void deleteUser(Long userId) {
      // Видалення користувача
  }
  

Security Misconfiguration

• Проблема: неправильна конфігурація може призвести до вразливостей.
• Spring Boot: використовуйте налаштування за замовчуванням та обмежте доступ до адміністративних інтерфейсів.
  
  
  

  server:
    ssl:
      enabled: true
      key-store: classpath:keystore.jks
      key-store-password: changeit
  

• Використовуйте Spring Actuator лише у захищених середовищах та обмежте його доступ.

Cross-Site Scripting (XSS)

• Проблема: зловмисники можуть вставляти шкідливі скрипти.
• Spring: використовуйте бібліотеки для екранування введення користувача.
  
  
  

  // Екранування введення
  @RequestMapping("/safe")
  public String safe(@RequestParam("input") String input) {
      String safeInput = HtmlUtils.htmlEscape(input);
      return "safeView";
  }
  

• У шаблонах (наприклад, Thymeleaf) за замовчуванням використовується екранування HTML, що захищає від XSS.

Insecure Deserialization

• Проблема: десеріалізація небезпечних даних може призвести до виконання довільного коду.
• Spring: використовуйте безпечні бібліотеки для серіалізації, такі як Jackson з включеним механізмом перевірки типів.
  
  
  

  ObjectMapper mapper = new ObjectMapper();
  mapper.enableDefaultTyping(ObjectMapper.DefaultTyping.NON_FINAL);
  

• Перевіряйте типи об’єктів, що десеріалізуються, і використовуйте налаштовані десеріалізатори.

Using Components with Known Vulnerabilities

• Проблема: вразливі бібліотеки можуть стати точкою входу для атак.
• Maven/Gradle: використовуйте плагіни для сканування залежностей:
  
  
  

  <!-- Maven OWASP Dependency-Check Plugin -->
  <plugin>
      <groupId>org.owasp</groupId>
      <artifactId>dependency-check-maven</artifactId>
      <version>6.0.3</version>
      <executions>
          <execution>
              <goals>
                  <goal>check</goal>
              </goals>
          </execution>
      </executions>
  </plugin>
  

• Регулярно оновлюйте залежності, використовуючи останні версії бібліотек.

Insufficient Logging & Monitoring

• Проблема: недостатнє логування та моніторинг можуть затримати виявлення атак.
• Spring Boot Actuator: використовуйте Spring Boot Actuator для моніторингу та логування подій безпеки.
  
  
  

  @EventListener
  public void handleAuthenticationSuccess(AuthenticationSuccessEvent event) {
      // Логування успішної аутентифікації
      System.out.println("Успішний вхід: " + event.getAuthentication().getName());
  }

Хорошим варіантом для перевірки вразливостей є SonarQube. Він аналізує код для виявлення вразливостей, включно з тими, що визначені OWASP. Плагін SonarQube Security може перевіряти код на наявність ін’єкцій, XSS, CSRF та інших загроз. Також його можна інтегрувати в CI/CD.

Висновок

Реалізація безпеки у вебзастосунках за допомогою OWASP Top 10 є ключовою частиною забезпечення захисту користувачів та їхніх даних. Spring та Hibernate пропонують інструменти й бібліотеки, які допомагають легко впроваджувати найкращі практики безпеки. Регулярне оновлення та використання рекомендованих підходів захистить ваш застосунок від найпоширеніших загроз.