Разработчикам

Способы защиты данных, передаваемых Яваскриптом

Академия 1С-Битрикс выпускников

Тема:	Битрикс PHP Framework
Описание:	А у нас будет своя академия, с блекджеком и девочками.

Долганин Антон

Гуру

Сообщений: 8512Баллов: 1056 Авторитет: 2 Регистрация: 17.05.2007

11.06.2011 00:02:05

Речь про обычный AJAX. Но, к примеру, нужно передать на сервер не только открытую информацию, но и закрытую. Например, не только ID запрашиваемой фотки, но и ID инфоблока. Подмена последней переменной может повлечь за собой чтение фото из закрытого IB.

На своих проектах можно в коде поставить проверку, еще как-то извращаться, но для профессиональной разработки в нашей среде такое не годится.

Вариант, как у нас принято, - запрос страницы на саму себя, в arParams нам прилетают нужные данные, все защищено, делаем рестарт буфера и все замечательно. Но очень долго и затратно. Задача стоит именно в передаче легкому скрипту /ajax/script.php набора данных и получении ответа без лишней работы.

Все сводится к шифровке блока переменных (к примеру):

Код
<script type="text/javascript"> var paramIB = '<?= $arParams['IBLOCK_ID']?>'; var siteID = '<?= SITE_ID?>'; var pathScript = '<?= $arResult['__PATH']?>'; </script>

Собственно, лично мне, кроме шифровки с каким-то ключом ничего на ум не приходит. Но может я не так смотрю на проблему и есть способы "красивше"?

Leshchenko Sergey Гуру Сообщений: 2529Баллов: 448 Авторитет: 1 Регистрация: 29.11.2005	#2 0 11.06.2011 00:10:35 А каким способом вы шифруете и дешифруете потом?

Долганин Антон

Гуру

Сообщений: 8512Баллов: 1056 Авторитет: 2 Регистрация: 17.05.2007

11.06.2011 00:13:29

Я впервые подошел к такой проблеме

для начала поищу что-то в ядре, там есть библиотека криптографии вроде.

Как бы, задача передавать не открытый IB, а, например, хеш-строку, которую, применив ключ на сервере, мы однозначно расшифруем и выдернем IB. При выводе в template.php ее шифруем с таким же ключом просто.

Как-то так вижу.

Ban Dmitry

Гуру

Сообщений: 4830Баллов: 571 Авторитет: 0 Регистрация: 24.11.2005

11.06.2011 00:25:56

Код
$checkword = md5($value1.$value2.'вот такая вот солёная строка');

'вот такая вот солёная строка' -- строка, прописанная в init.php

«Да не могут же они!»

Долганин Антон Гуру Сообщений: 8512Баллов: 1056 Авторитет: 2 Регистрация: 17.05.2007	#5 0 11.06.2011 00:27:46 Дмитрий, а вы как md5 расшифровываете, чтобы достать $value1?

Ban Dmitry Гуру Сообщений: 4830Баллов: 571 Авторитет: 0 Регистрация: 24.11.2005	#6 0 11.06.2011 00:32:13 ??? checkword нужен только для проверки корректности переданных данных. valueXXX передаются в открытую. «Да не могут же они!»

Leshchenko Sergey

Гуру

Сообщений: 2529Баллов: 448 Авторитет: 1 Регистрация: 29.11.2005

11.06.2011 00:32:36

Что-то меня смущает здесь в самом подходе. Если шифрация пакета производится на уровне php, то это значит, что и аякс-скрипт сам сможет сгенерировать этот пакет, а следовательно в его предаче нет смысла.
Просто на ум не приходит такой задачи, чтобы потребовалось передавать зашифрованные данные через js и нет другого способа решить задачу красиво.

По поводу шифрования, посмотрите в сторону Mcrypt.

Долганин Антон

Гуру

Сообщений: 8512Баллов: 1056 Авторитет: 2 Регистрация: 17.05.2007

11.06.2011 00:37:24

Цитата
Dmitry Ban пишет: checkword нужен только для проверки корректности переданных данных. valueXXX передаются в открытую.

Ну да, когда надо исключить только подмену это действительно красивый выход

Цитата
Sergey Leshchenko пишет: Просто на ум не приходит такой задачи, чтобы потребовалось передавать зашифрованные данные через js и нет другого способа решить задачу красиво.

Ну вот пример с запросом фотки с сервера аяксом. Подмена IBLOCK_ID в JS грозит утечкой фоток с другого инфоблока (перебором).

Leshchenko Sergey

Гуру

Сообщений: 2529Баллов: 448 Авторитет: 1 Регистрация: 29.11.2005

11.06.2011 00:37:42

Цитата
Dmitry Ban пишет: checkword нужен только для проверки корректности переданных данных. valueXXX передаются в открытую.

Да, так многие платежные системы поступают.

Leshchenko Sergey

Гуру

Сообщений: 2529Баллов: 448 Авторитет: 1 Регистрация: 29.11.2005

#10

11.06.2011 00:42:10

Цитата
Антон Долганин пишет: Ну вот пример с запросом фотки с сервера аяксом. Подмена IBLOCK_ID в JS грозит утечкой фоток с другого инфоблока (перебором).

Этот пример меня и смутил, т.к. я совсем не представляю для чего при запросе фотки аяксом нужно передавать код инфоблока. Разве скрипт, который будет отдавать ответ через аякс не сможет сам разобрать по открытым параметрам какую фотку нужно вернуть?

Ban Dmitry

Гуру

Сообщений: 4830Баллов: 571 Авторитет: 0 Регистрация: 24.11.2005

#11

11.06.2011 00:42:46

Цитата
Антон Долганин пишет: Ну да, когда надо исключить только подмену это действительно красивый выход

А вам и нужно исключить только подмену. Сколько там может быть ID инфоблоков? Сотня? Пингуется перебором.

«Да не могут же они!»

Долганин Антон

Гуру

Сообщений: 8512Баллов: 1056 Авторитет: 2 Регистрация: 17.05.2007

#12

11.06.2011 00:46:34

Цитата
Dmitry Ban пишет: А вам и нужно исключить только подмену. Сколько там может быть ID инфоблоков? Сотня? Пингуется перебором.

Два сайта, которые не могут пересекаться. Ну один пусть открытый будет, второй корпортал. Утечка с последнего чревата

Цитата
Sergey Leshchenko пишет: Разве скрипт, который будет отдавать ответ через аякс не сможет сам разобрать по открытым параметрам какую фотку нужно вернуть?

Собственно, пример с КП выше.

Поэтому, задача (одна из) сводится к строгой паре ID+IBLOCK_ID. То есть ту пару, которая задалась по адресу site.ru/photo/, для доступа по которому, быть может, была сделана авторизация.

Leshchenko Sergey Гуру Сообщений: 2529Баллов: 448 Авторитет: 1 Регистрация: 29.11.2005	#13 0 11.06.2011 00:55:03 Ок. Но разве /ajax/script.php не сможет сам разобрать, есть ли доступ у пользователя к запрашиваемой фотографии или нет?

Долганин Антон Гуру Сообщений: 8512Баллов: 1056 Авторитет: 2 Регистрация: 17.05.2007	#14 0 11.06.2011 00:59:07 1. Скорость. Зачем лишние запросы? 2. В той же фотогалерее КП доступ на ИБ стоит "чтение для всех".

Ban Dmitry

Гуру

Сообщений: 4830Баллов: 571 Авторитет: 0 Регистрация: 24.11.2005

#15

11.06.2011 01:12:33

Цитата
Антон Долганин пишет: Два сайта, которые не могут пересекаться. Ну один пусть открытый будет, второй корпортал.

И что? Если IBLOCK_ID передан корректно, права доступа юзера к элементу будет определяться настройками битрикса (правами на доступ к инфоблоку).

«Да не могут же они!»

Ban Dmitry

Гуру

Сообщений: 4830Баллов: 571 Авторитет: 0 Регистрация: 24.11.2005

#16

11.06.2011 01:20:17

Цитата
Dmitry Ban пишет: будет определяться настройками битрикса

Естественно, если добавить в $arFilter "CHECK_PERMISSIONS" => "Y"

«Да не могут же они!»

Leshchenko Sergey

Гуру

Сообщений: 2529Баллов: 448 Авторитет: 1 Регистрация: 29.11.2005

#17

11.06.2011 01:40:47

Блин, понял.

Просто только параметрами компонента ограничивается доступ. И поменяв параметры компонента, автоматом должны "поменяться" параметры и у /ajax/script.php
Ну да, здесь тогда соль добавлять в запрос и не изобретать велосипед.

Изменено: Leshchenko Sergey - 11.06.2011 01:41:18

Нейман Андрей Постоянный посетитель Сообщений: 129Баллов: 15 Авторитет: 1 Регистрация: 30.04.2008	#18 0 11.06.2011 09:00:22 Для непосредственного скрытия данных я использую blowfish с base64. Если же надо просто защитить данные от модификации - то, как и сказали выше, передавать хэш по этим данным

Долганин Антон

Гуру

Сообщений: 8512Баллов: 1056 Авторитет: 2 Регистрация: 17.05.2007

#19

11.06.2011 10:06:48

Цитата
Dmitry Ban пишет: И что? Если IBLOCK_ID передан корректно, права доступа юзера к элементу будет определяться настройками битрикса (правами на доступ к инфоблоку).

Дмитрий. Да что вы прикопались к этому IBLOCK_ID? Просто у IncludeComponent есть ряд параметров, их много может быть. Какие-то можно в открытом виде передавать, какие-то нет. Задача - их передать аякс-скрипту на сервер. Сейчас в Битрикс решается это путем редиректа страницы на саму себя и рестартом буфера. Этот вариант не подходит по очевидным причинам. Вот и все.

Цитата
Sergey Leshchenko пишет: Блин, понял. Просто только параметрами компонента ограничивается доступ. И поменяв параметры компонента, автоматом должны "поменяться" параметры и у /ajax/script.php

Именно. Но если некоторые arParams должны быть закрытыми, то шифруем полностью.

Зайцев Артемий

Эксперт

Сообщений: 852Баллов: 151 Авторитет: 0 Регистрация: 16.06.2008

#20

11.06.2011 14:49:30

Знаю секрет. Надо параметры компонента кэшировать на сервере. Тогда компонент сможет вызвать сам себя аяксом.

Модуль «Продвинутый обмен с 1C» http://marketplace.1c-bitrix.ru/solutions/askaron.pro1c/, создание сайтов и интеграция с 1С http://askaron.ru,

Долганин Антон Гуру Сообщений: 8512Баллов: 1056 Авторитет: 2 Регистрация: 17.05.2007	#21 0 11.06.2011 16:13:24 Хорошая идея А передавать идентификатор кеша, к примеру. Вроде без всяких криптографий можно обойтись.

Leshchenko Sergey

Гуру

Сообщений: 2529Баллов: 448 Авторитет: 1 Регистрация: 29.11.2005

#22

11.06.2011 18:42:24

Тогда уж лучше просто в специализированный файл писать, это и по скорости быстрее будет, и проще в использовании: file_put_contents(), file_get_contents().

И не надо бояться, что очистится полностью кэш

Изменено: Leshchenko Sergey - 11.06.2011 18:49:12

Долганин Антон Гуру Сообщений: 8512Баллов: 1056 Авторитет: 2 Регистрация: 17.05.2007	#23 0 11.06.2011 19:46:17 Ну да, спец.файл, где-нибудь в managed_cache (кстати, так и не в курсе оф.использования этой папки). И думаю просто сериализовать туда arParams, а потом его инклудить в аякс-скрипте.

Зайцев Артемий

Эксперт

Сообщений: 852Баллов: 151 Авторитет: 0 Регистрация: 16.06.2008

#24

11.06.2011 19:56:16

Можно кэшировать в файл, а можно в БД. Тогда в компоненте добавится маленький, очень быстрый запрос из функции GetCache:

Код

$arCache = CIBlockRSS::GetCache( $arResult['AJAX']['KEY'] );
if(!$arCache || ($arCache["VALID"] != "Y")) {
    CIBlockRSS::UpdateCache( 
        $arResult['AJAX']['KEY'], 
        $arResult['AJAX']['PARAMS_SERIALIZE'], 24*30, is_array($arCache) 
    );
}

Изменено: Зайцев Артемий - 11.06.2011 20:00:20

Модуль «Продвинутый обмен с 1C» http://marketplace.1c-bitrix.ru/solutions/askaron.pro1c/, создание сайтов и интеграция с 1С http://askaron.ru,

Leshchenko Sergey

Гуру

Сообщений: 2529Баллов: 448 Авторитет: 1 Регистрация: 29.11.2005

#25

11.06.2011 20:04:23

Цитата
Антон Долганин пишет: кстати, так и не в курсе оф.использования этой папки.

В managed_cache пишется кэш, который формируется с помощью $CACHE_MANAGER. Тоже не совсем удачное место для подобных файлов, т.к. он автоматом попадает под область действия $CACHE_MANAGER->CleanAll().

Группы на сайте создаются не только сотрудниками «1С-Битрикс», но и партнерами компании. Поэтому мнения участников групп могут не совпадать с позицией компании «1С-Битрикс».

Продукты

Решения

Внедрение

Контакты

1С-Битрикс http://www.1c-bitrix.ru Общие вопросы info@1c-bitrix.ru Приобретение и лицензирование продуктов: sales@1c-bitrix.ru Маркетинг/мероприятия/PR marketing@1c-bitrix.ru Партнерская программа partners@1c-bitrix.ru Мы работаем с 10:00 до 19:00 по московскому времени. Офис в Москве 127287 Россия Московская область Москва 2-я Хуторская улица дом 38А строение 9 Офис в Калининграде +7 (4012) 51-05-64 Офис в Калининграде 236001 Россия Калининградская область Калининград Московский проспект 261 Офис в Киеве ukraine@1c-bitrix.ru Телефон в Киеве +3 (8044)221-55-33 Офис в Киеве 01033 Украина Калининградская область Киев улица Шота Руставели 39/41 офис 1507

Способы защиты данных, передаваемых Яваскриптом

Академия 1С-Битрикс выпускников

Продукты

Управление сайтом

Битрикс24

Интернет-магазин + CRM

Решения

Для интернет-магазинов

Каталог готовых решений

Внедрение

Выбрать партнера

Проверить партнера

Стать партнером