Membangun Startup Anda: Meningkatkan Keamanan

() translation by (you can also view the original English article)

Final product image — What You'll Be Creating

Tutorial ini adalah bagian dari serial Membangun Startup Anda dengan PHP di Envato Tuts+. Dalam seri ini, saya membimbing Anda melalui peluncuran startup dari konsep ke kenyataan menggunakan aplikasi Meeting Planner saya sebagai contoh di kehidupan nyata. Setiap langkah di sepanjang jalan, saya akan merilis kode Meeting Planner sebagai contoh sumber terbuka yang bisa Anda pelajari. Saya juga akan membahas masalah bisnis terkait startup saat mereka muncul.

Pada episode sebelumnya, saya membahas terutama keamanan server web dan kontrol akses. Dalam episode hari ini, saya akan membahas pengamanan tambahan yang saya tambahkan ke Meeting Planner. Karena semua kode ditulis dalam Yii2 Framework untuk PHP, saya dapat memanfaatkan kerangka untuk sejumlah pertahanan ini. Jika Anda ingin mempelajari lebih lanjut tentang Yii2, lihat seri paralel kami Pemrograman dengan Yii2.

Anda bisa mencoba Meeting Planner sekarang dengan menjadwalkan pertemuan pertama Anda. Jangan ragu untuk mengirim umpan balik tentang pengalaman Anda di komentar di bawah ini. Saya juga terbuka terhadap gagasan dan saran fitur baru untuk tutorial masa depan.

Membangun Peningkatan Keamanan

Menerapkan berbagai tingkat keamanan untuk Meeting Planner akan mengambil beberapa episode. Setelah server dikonfigurasi lebih kuat, saya ingin membimbing Anda melalui area keamanan lainnya untuk kode aplikasi.

Melindungi Kunci dan Kode

Jelas, penting untuk tetap mengautentikasi kunci dari hacker, tapi juga mudah untuk menerbitkannya ke GitHub. Cerita dikisahkan tentang kesalahan check-in dari tidak disengaja oleh file-file dengan kata kunci layanan atau kunci API.

Untuk mencegah hal ini di Yii, saya menyimpan file .ini eksternal di luar pohon kode. Ini akan dimuat di bagian atas dari /frontend/config/main.php dan digunakan untuk konfigurasi komponen apa saja yang diperlukan:

<?php
$config = parse_ini_file('/var/secure/meetme.ini', true);

$params = array_merge(
    require(__DIR__ . '/../../common/config/params.php'),
    require(__DIR__ . '/../../common/config/params-local.php'),
    require(__DIR__ . '/params.php'),
    require(__DIR__ . '/params-local.php')
);

return [
    'id' => 'mp-frontend',
    'name' => 'Meeting Planner',
    'basePath' => dirname(__DIR__),
    'bootstrap' => ['log'],
    'controllerNamespace' => 'frontend\controllers',
    'components' => [
      'authClientCollection' => [
              'class' => 'yii\authclient\Collection',
              'clients' => [
                  'facebook' => [
                      'class' => 'yii\authclient\clients\Facebook',
                      'clientId' => $config['oauth_fb_id'],
                      'clientSecret' => $config['oauth_fb_secret'],
                  ],

Pada contoh di atas, Anda bisa melihat rahasia API Facebook yang dimuat dari file inisialisasi.

Format file inisialisasi cukup mudah:

mysql_host="localhost"
mysql_un="xxxxxxxxxxxxxxxxxxx"
mysql_db="xxxxxxxxxxxxxxxxxxx"
mysql_pwd="xxxxxxxxxxxxxxxxxxx"
mailgun_user = "xxxxxxxxxxxxxxxxxxx@meetingplanner.io"
mailgun_pwd = "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
mailgun_api_key="key-9p-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
mailgun_api_url="https://api.mailgun.net/v2"
mailgun_public_key="pubkey-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
oauth_fb_id="1xxxxxxxxxxxxxxxxxxx3"
oauth_fb_secret="bcxxxxxxxxxxxxxxxxxxxda"

Yii2 mendorong Anda untuk menempatkan beberapa pengaturan ini di direktori /environments, terutama bila pengaturannya bervariasi antara pengembangan dan produksi.

Jadi, penting bahwa file .gitignore Anda mengecualikan versi lokal dari file-file ini:

#local environment files
/environments/prod/common/config/main-local.php
/environments/prod/frontend/config/main-local.php
/frontend/config/params-local.php
/frontend/config/main-local.php

Berikut adalah contoh salah satu file parameter lokal saya, /frontend/config/params-local.php:

<?php
return [
  'ga' => 'UA-xxxxxxxxxx-12',
  'urlPrefix' => '',
  'google_maps_key' => 'AIzzzzzz1111222222xxxxxxQ',
];

Saya mungkin bisa menghabiskan lebih banyak waktu untuk mengaturnya dengan lebih baik.

Memblokir Pendaftaran yang Buruk

Untuk rilis alfa, saya mengirimkan update dalam gelombang-gelombang. Dan, pada tahap awal Meeting Planner, ada sejumlah besar email buruk dari yang saya harapkan. Mailgun mempermudah identifikasi bounce dan kegagalan:

$badEmails=[ '', 'test2@gmail.com', '1111@gmail.com', 'qwerty@gmail.com',
 'amjadiqbalkhanniazi@gmail.com', 'admin@admin.com', 'rhizalpatra@fellow.lpkia.ac.id', 'tm@archi.com',
 'test@test.com', 'web@yahoo.fr', 'a@a. a', 'ailaa@aa.com', 'be@yahoo.fr', 'vico@gmail.com',
 'nobu@gmail.com', 'a@gmail.com', 'ct@gmail.com', 'sanjaydk@projectdemo. biz', 'trial@gmail.com',
 'varlog255q@hotmail.com', 'baah@baah.com', 'minhvnn1@gmail.com', 'test@gmail.com',
 'test@mediabite.co.uk', 'ddd@c. hu', 'ddd@ymail.com', 'a. chetan@saisoftex.com', 'user02@local.com',
 'Imrky4@gmail.com', 'robomadybu@hotmail.com', 'mike@mike. mike', 'abcd@gmail.com',
 'azazaz@azazaza.com', 'mama@mama.mn', 'qweqwe@qwe. qwe', 'testere@wp.pl', 'kaze@hotmail.com',
 'test@usertest.fr', 'demodemo@demo.com', 'qqq@dd.gh', 'gnfbb@h. vo', 'admin@admin123.com',
 'testsir@testsir.com', 'oi. hd@yeah1.vn', 'loi. hd@yeah1.vn', 'test@email.com', 'salom@salom.com',
 'ar@yahoo.com', 'lex@gmail.com', 'Tester1234@gmail.com', 'mantaf@mail.com', 'aaa@aaa.com',
 'oeui@gmail.com', 'risitesh. biswal14@yahoo.com', 'ttt@wp.pl', 'nnn@nnn.net', 'nnn2@nnn.net',
 'ana@gmail.com', 'asdf@yahoo.com', 'noom@gmail.com', 'jomon@example.com', 'asdfasdf@yahoo.com',
 'admin@yahoo.com', 'abinubli@mail.com', 'tes@tes.com', 'asdasdr@asd.com', 'something@some.com',
 'ademin@example.com', 'd@dd.com', 'robo@gmail.com', 'toto@titi.com', 'fesfe@fseff. fes',
 'master@wpthemeslist.com', 'teste@teste.com', 'barny182@hotmail.com', 'test@admin.com',
 'billtian@test.com', 'Test@goggle.ca', 'jm@gmail.com', 'john-panin@qip.ru', 'loslos@loslos.com',
 'ghfhf@jhgjgjk.com', 'lol@lol.com', 'tester1@gmail.com', 'g0952180828@gmail.com', 'testim@testim.com',
 'mnml.name@gmail.com', 'endri. azizi. 92@gmail.com', '123123@gmail.com', 'myfriend@gmai.com',
 'geraldo_1989@hotmail.com', 'rob. test. 999@gmail.com', 'j@c. com', 'Agung. andika@mhs.uinjkt.ac.id',
 'W3test@ya.ru', 'user@ya.ru', 'ed@ed. fl', 'ed@ed.es', ];

Sebagian besar kemungkinan dari celah waktu saat Meeting Planner baru dan tidak lagi berjalan—selama perawatan dan operasi tumor otak saya.

Baru-baru ini, dengan menambahkan login sosial, saya mendaftar ke Meeting Planner cukup mudah, namun pendaftaran spam masih dimungkinkan. Saya ingin membuatnya lebih sulit bagi orang untuk mendaftar dengan email yang buruk.

Untungnya, Yii menawarkan beberapa fitur yang mendukung hal ini.

Captcha

Yii2 sekarang menawarkan captcha bawaan. Jadi, siapa saja yang mendaftar dengan metode email dan password model lama harus memasukkan captcha. Anda dapat melihat field captcha di bawah ini:

<p>Or, fill out the following fields to register manually:</p>
        <div class="col-lg-5">
            <?php $form = ActiveForm::begin(['id' => 'form-signup']); ?>
                <?= $form->field($model, 'username') ?>
                <?=
                $form->field($model, 'email', ['errorOptions' => ['class' => 'help-block' ,'encode' => false]])->textInput() ?>
                <?= $form->field($model, 'password')->passwordInput() ?>
                <?= $form->field($model, 'captcha')->widget(\yii\captcha\Captcha::classname(), [
                      // configure additional widget properties here
                  ]) ?>
                <div class="form-group">
                    <?= Html::submitButton('Signup', ['class' => 'btn btn-primary', 'name' => 'signup-button']) ?>
                </div>
            <?php ActiveForm::end(); ?>
        </div>

Kemudian, kepatuhan terhadap captcha ditambahkan sebagai aturan untuk model SignupForm:

<?php
namespace frontend\models;

use common\models\User;
use yii\base\Model;
use Yii;
use yii\helpers\Html;
use yii\validators\EmailValidator;

/**
 * Signup form
 */
class SignupForm extends Model
{
    public $username;
    public $email;
    public $password;
    public $captcha;

    /**
     * @inheritdoc
     */
    public function rules()
    {
        return [
            ['username', 'filter', 'filter' => 'trim'],
            ['username', 'required'],
            ['username', 'unique', 'targetClass' => '\common\models\User', 'message' => 'This username has already been taken.'],
            ['username', 'string', 'min' => 2, 'max' => 255],
            ['email', 'filter', 'filter' => 'trim'],
            ['email', 'required'],
            ['email', 'email', 'checkDNS'=>true, 'enableIDN'=>true],
            ['email', 'unique', 'targetClass' => '\common\models\User', 'message' => 'This email address has already been taken. '.Html::a('Looking for your password?', ['site/request-password-reset'])],
            ['password', 'required'],
            ['password', 'string', 'min' => 6],
            ['captcha', 'required'],
            ['captcha', 'captcha'],
        ];
    }

Jika orang-orang tidak memasukkan respons captcha yang benar, mereka tidak dapat mendaftar. Hal ini membuat registrasi otomatis sulit bagi spammer.

CheckDNS

Saya juga ingin meminimalisir registrasi dengan alamat email palsu. Validasi checkDNS Yii sebenarnya mencari record MX yang valid berdasarkan domain alamat email:

1	['email', 'email', 'checkDNS'=>true, 'enableIDN'=>true],

Jadi, misalnya, jika saya salah ketik gmail.com sebagai gmal.com, checkDNS mengembalikan false. Tidak ada record MX yang terdaftar untuk gmal.com. Demikian pula, tidak ada untuk spambotolympics9922.com.

Pada akhirnya, keamanan adalah proses yang berulang-ulang. Selalu ada lagi yang harus dilakukan.

Membatasi Tindakan yang Terlarang

Selanjutnya, saya ingin menambahkan batasan umum pada sejumlah tindakan yang dapat dilakukan orang-orang, untuk membatasi penyalahgunaan dan agar aplikasi tidak menjadi berat.

Pembuatan Pertemuan

Untuk mencegah orang menciptakan banyak pertemuan kosong, saya menciptakan sebuah findEmptyMeeting yang mencari pertemuan kosong dan menggunakannya kembali ketika seseorang mencoba membuat yang baru:

public function actionCreate()
    {
        // prevent creation of numerous empty meetings
        $meeting_id = Meeting::findEmptyMeeting(Yii::$app->user->getId());
        //echo $meeting_id;exit;
        if ($meeting_id===false) {
        // otherwise, create a new meeting
          $model = new Meeting();
          $model->owner_id= Yii::$app->user->getId();
          $model->sequence_id = 0;
          $model->meeting_type = 0;
          $model->save();
          $model->initializeMeetingSetting($model->id,$model->owner_id);
          $meeting_id = $model->id;
        }
        $this->redirect(['view', 'id' => $meeting_id]);
    }

Dengan kata lain, jika pengguna membuat pertemuan baru 1.700 kali, mereka akan selalu disajikan dengan pertemuan kosong pertama yang mereka buat.

Membatasi Frekuensi Tindakan

Saya juga menciptakan metode withinLimit yang terstruktur umum untuk digunakan kembali di seputar aplikasi yang dapat mencegah terlalu banyak tindakan dalam waktu yang terlalu singkat. Contoh di bawah ini memeriksa bahwa tidak lebih dari n jumlah pertemuan telah dibuat pada jam terakhir dan hari terakhir:

public static function withinLimit($user_id,$minutes_ago = 180) {
      // how many meetings created by this user in past $minutes_ago
      $cnt = Meeting::find()
        ->where(['owner_id'=>$user_id])
        ->andWhere('created_at>'.(time()-($minutes_ago*60)))
        ->count();
      if ($cnt >= Meeting::NEAR_LIMIT ) {
        return false;
      }
      // check in last DAY_LIMIT
      $cnt = Meeting::find()
        ->where(['owner_id'=>$user_id])
        ->andWhere('created_at>'.(time()-(24*3600)))
        ->count();
      if ($cnt >= Meeting::DAY_LIMIT ) {
          return false;
      }
      return true;        
    }

Kapan pun seseorang mencoba membuat pertemuan, kita memeriksa withinLimit apakah mereka memungkinkan. Jika tidak, kita menampilkan pesan kesalahan flash:

public function actionCreate()
    {
        if (!Meeting::withinLimit(Yii::$app->user->getId())) {
          Yii::$app->getSession()->setFlash('error', Yii::t('frontend','Sorry, there are limits on how quickly you can create meetings. Visit support if you need assistance.'));
          return $this->redirect(['index']);
        }
    

Membatasi Jumlah Tindakan

Saya juga ingin membatasi jumlah tindakan secara keseluruhan. Misalnya, setiap peserta pertemuan hanya dapat menambahkan tujuh kali tanggal pertemuan per pertemuan. Dalam MeetingTime.php, saya menetapkan MEETING_LIMIT, jadi bisa diubah nantinya:

1	const MEETING_LIMIT = 7;

Kemudian, MeetingTime::withinLimit() memeriksa untuk memastikan bahwa tidak lebih dari tujuh kali telah disarankan oleh pengguna manapun:

public static function withinLimit($meeting_id) {
      // how many meetingtimes added to this meeting
      $cnt = MeetingTime::find()
        ->where(['meeting_id'=>$meeting_id])
        ->count();
        // per user limit option: ->where(['suggested_by'=>$user_id])
      if ($cnt >= MeetingTime::MEETING_LIMIT ) {
        return false;
      }
      return true;
    }

Ketika mereka akan membuat MeetingTime, controller membuat metode memeriksa batas-batasnya:

public function actionCreate($meeting_id)
    {
      if (!MeetingTime::withinLimit($meeting_id)) {
        Yii::$app->getSession()->setFlash('error', Yii::t('frontend','Sorry, you have reached the maximum number of date times per meeting. Contact support if you need additional help or want to offer feedback.'));
        return $this->redirect(['/meeting/view', 'id' => $meeting_id]);
      }
    

Mengamankan Tugas CRON

Akhirnya hari ini, saya ingin mengamankan akses ke tugas cron jarak jauh. Ada beberapa pendekatan menarik yang dijelaskan di interwebs. Untuk saat ini, saya memeriksa bahwa $_SERVER['REMOTE_ADDR'] (alamat IP yang meminta) adalah server yang sama dengan hosting $_SERVER['SERVER_ADDR'], alamat IP lokal. $_SERVER['REMOTE_ADDR'] aman digunakan untuk keamanan—dengan kata lain, saya telah membaca bahwa itu tidak dapat dipalsukan.

  // only cron jobs and admins can run this controller's actions
    public function beforeAction($action)
    {
      // your custom code here, if you want the code to run before action filters,
      // which are triggered on the [[EVENT_BEFORE_ACTION]] event, e.g. PageCache or AccessControl
      if (!parent::beforeAction($action)) {
          return false;
      }
      // other custom code here
      if (( $_SERVER['REMOTE_ADDR'] == $_SERVER['SERVER_ADDR'] ) ||
          (!\Yii::$app->user->isGuest && \common\models\User::findOne(Yii::$app->user->getId())->isAdmin()))
       {
         return true;
       }
      return false; // or false to not run the action
    }

Untuk pengujian saya sendiri, saya juga mengizinkan administrator yang login untuk menjalankan tugas cron.

Akhirnya, saya juga bisa menambahkan kata sandi ke tugas cron saya dan memindahkannya ke operasi command-line.

Melihat ke Depan

Saya telah menyelesaikan banyak perbaikan keamanan selama dua episode terakhir, namun masih banyak yang harus dilakukan. Pada daftar pendek saya adalah tinjauan keamanan akses yang lebih dalam, terutama melalui AJAX, pelacakan dan pemblokiran alamat IP, dan dengan hati-hati memfilter semua masukan pengguna.

Sekali lagi, tunggu apa lagi? Jadwalkan pertemuan pertama Anda, dan bagikan masukan Anda di komentar. Saya juga menghargai komentar Anda tentang masalah keamanan.

Seperti biasa, Anda bisa melihat tutorial yang akan datang di serial Membangun Startup Anda dengan PHP atau ikuti saya @reifman. Ada beberapa fitur besar yang akan muncul.