Railsのセキュリティの脅威：認証

ユーザー列挙は、攻撃者が（ブルートフォースを使用して）特定のデータがシステム内に存在するかどうかを確認するために使用する有名な手法です。

この攻撃の最も悪名高い例の1つは、現在のFacebookログインページで発生します。下の画像に示すような無効でランダムな資格情報を入力すると、Facebookはリクエストを処理し、データベース内にユーザーが存在するかどうかを確認します。

Facebookのログインページ。

ログインをクリックすると ボタンをクリックすると、Facebookはユーザー名（電子メールまたは電話番号のいずれか）が無効であることを示すエラーメッセージを返します。

無効なユーザー名メッセージ。

したがって、攻撃者は、アプリケーションがユーザーが登録されているかどうかを通知することを知っています。無料です。

攻撃者が電子メールのリストを持っている場合（それらがランダムに生成されたか、どこかで購入されたかにかかわらず）、パスワードが正しいかどうかをアプリケーションに尋ねることもできます：

無効なパスワードメッセージ。

攻撃者は、システムが各検証に個別にどのように応答するかを知ったら、possible usersのリストを作成できます。 および一般的な/弱いパスワード。その後、アクセスが取得されるまで、ブルートフォーステストをシステムに対して繰り返し実行できます。

もちろん、Facebook開発者はこれを知っており、特定のIPアドレスからのリクエスト数に対する非表示のキャプチャや検証などの追加の保護を実装したのはそのためです。

ユーザーの列挙を回避するためにできることの1つは、ユーザー名とパスワードの両方を一緒に検証し、一般的なメッセージを返すことです。このアプローチの実際を見てみましょう！

raise "#{email} doesn't exist!" if !(user)
if user.password == Digest::MD5.hexdigest(password)
  auth = user
else
  raise "Incorrect Password!"
end

flash[:error] = e.message

flash[:error] = "Your credentials aren't valid."

validates :password,
    presence: true,
    confirmation: true,
    length: {
      within: 6..40
    },

    ...

:format => {:with => /\A.*(?=.*[a-zA-Z])(?=.*[0-9])(?=.{10,}).*\z/},

<script>
  alert(document.cookie);
</script>

def hash_password
  if self.password.present?
      self.password = Digest::MD5.hexdigest(password)
  end
end

gem install bcrypt

require 'bcrypt'

class User < ActiveRecord

  include BCrypt

  def password
    @password ||= Password.new(password_hash)
  end

  def password=(new_password)
    @password = Password.create(new_password)
    self.password_hash = @password
  end
end

def show
  respond_with @user.as_json
end

def as_json
  super(only: [:id, :email])
end