Desenvolvendo Código Seguro com Zend Framework

FGSL: É permitida a reprodução deste material desde que citada a fonte
Desenvolvendo Código Seguro
com Zend Framework
Flávio Gomes da Silva Lisboa
flaviogomesdasilva@yahoo.com.br
www.fgsl.eti.br

Agenda
● Quem sou eu (1 slide)
● Colocando medo em seus corações
● Zend Framework
● Filtros e validadores
● Listas de controle de acesso
● Autenticação

Quem sou eu

Colocando medo em seus
corações
SUA
APLICAÇÃO
ESTÁ
SEGURA?
http://pt.wikipedia.org/wiki/Azrael_(DC_Comics)

Questões
A segurança é opcional?
Podemos ter segurança total?
Soluções de segurança têm efeito
permanente?
Segurança custa pouco?

Segurança em camadas
Princípio NOT Goonies
“What's good enough for you is good
enough for me?”
Se a segurança importa, a resposta é
NO!

Certezas
A segurança nunca será suficiente.
A segurança custa caro.
A segurança não garante nenhum retorno,
mas sua falta pode causar prejuízos.
Sistemas mais seguros = menos amigáveis
(e às vezes menos performáticos)

Código seguro
Código Seguro não é um código de
segurança ou um código que implementa
os recursos de segurança.
Código Seguro é um código projetado
para suportar ataques por invasores mal-
intencionados.
Um Código Seguro também é um código
robusto.

Resistências encontradas
A segurança é entediante.
A segurança costuma ser vista como um desativador
de funcionalidades, como algo que atrapalha.
A segurança é difícil de medir.
Normalmente, a segurança não é principal habilidade
ou interesse dos projetistas e desenvolvedores que
criam o produto.
A segurança não significa criar algo novo e animador.

Código seguro: necessidade
constante
O´Reilly Media All Rights Reserved
Como seria
maravilhoso se
houvesse uma
infra-estrutura de
software que
provesse
funcionalidades
mínimas que
auxiliassem a
implementação de
código seguro...

Ou seja:

Segurança como parte da
infraestrutura

Já quer ir embora?
http://pt.wikipedia.org/wiki/Espectro_(DC_Comics)
ESPERE! AINDA
NÃO ESTÁ
CONVENCIDO DA
IMPORTÂNCIA DO
CÓDIGO
SEGURO?

Mitos da construção de
programas
►Ninguém fará isso!
►Por que alguém faria isso?
►Nunca fomos atacados.
►Estamos seguros – utilizamos criptografia.
►Revisamos o código e não há bugs de
segurança.

programas
►Sabemos que é o default, mas o
administrador pode desativá-lo.
►Se não executarmos como administrador,
as coisas quebram.
►Mas não cumpriremos os prazos!
►Não é explorável.

programas
►Mas essa é a maneira como sempre
fizemos isso.
►Se pelo menos tivéssemos ferramentas
melhores...

A Vantagem do Invasor e o
Dilema do Defensor
1º O defensor
deve defender
todos os pontos;
o invasor pode
escolher o ponto
mais fraco.
http://pt.wikipedia.org/wiki/Homem-Aranha

Dilema do Defensor
2º O defensor
pode se defender
somente de
ataques
conhecidos; o
invasor pode
investigar
vulnerabilidades
desconhecidas.

Dilema do Defensor
3º O defensor
deve estar
constantemente
vigilante; o
invasor pode
atacar a
qualquer
momento.

Dilema do Defensor
4º O defensor
deve jogar de
acordo com as
regras; o
invasor pode
jogar sujo.

PHP: Poder e Responsabilidade
“Ben Parker avisou uma vez seu jovem
sobrinho Peter Peter, cujo alter-ego super-
herói é o Homem-Aranha, que 'com um
grande poder, vem uma grande
responsabilidade'.

Assim é com a segurança em aplicações
PHP. O PHP fornece um rico conjunto de
ferramentas com imenso poder – alguns
têm argumentado que talvez seja muito
poder – e este poder, quando usado com
cuidadosa atenção aos detalhes, permite a
criação de aplicações complexas e
robustas.

Por outro lado, sem essa atenção para os
detalhes, usuários maliciosos podem usar o
poder do PHP para seus próprios
interesses, atacando aplicações de várias
formas.”
Fonte: Zend PHP 5 Certification Study Guide

Falha de segurança: mito do
PHP
A maior fraqueza na maioria dos
programas PHP não é inerente a linguagem
em si, mas meramente um problema de
código escrito desconsiderando a
segurança.

Falha de segurança: mito do
PHP
Por essa razão, você sempre deve investir
um pouco de tempo considerando as
implicações de um certo pedaço de código,
para ter certeza do dano possível se uma
variável não esperada for submetida ao
mesmo.
Fonte: Manual do PHP – www.php.net

Toda entrada está doente
►Se o dado se origina de uma fonte
externa, ele não pode ser confiável.
►Não temos certeza de os dados contém
caracteres que podem ser executados no
contexto errado.
►Dados de todas as matrizes superglobais,
exceto $_SESSION devem ser considerados
doentes.

CONCLUSÃO: Todo dado deve ser filtrado.
Fonte: Zend PHP 5 Certification Study Guide

Como seria
maravilhoso se
houvesse um
componente
que ajudasse a
filtrar os dados
de entrada...

Injeção de XML
/*
* Sem filtro
* A diretiva magic_quotes_gpc insere barras
* à esquerda de aspas, evitando a interpretação
* de atributos HTML.
* Mas não impede o efeito do restante.
* ini_set() não tem efeito, pois os dados são
* passados ANTES. A configuração já tem de estar
* no arquivo php.ini, ou ser modificada pelo
* .htaccess do Apache Web Server.
*/
foreach ($_GET as $parametro => $valor)
{
echo "$parametro = $valor";
}

Injeção de XML
require('Zend/Filter/HtmlEntities.php');
// Com filtro
$entrada = new Zend_Filter_HtmlEntities();
{
echo "$parametro = {$entrada
>filter($valor)}";
}

Filtros do Zend Framework
Zend_Filter_Alnum
Zend_Filter_Alpha
Zend_Filter_BaseName
Zend_Filter_Digits
Zend_Filter_Dir
Zend_Filter_HtmlEntities
Zend_Filter_Int
Zend_Filter_RealPath
Zend_Filter_StripNewLines
Zend_Filter_StringToLower
Zend_Filter_StringToUpper
Zend_Filter_StringTrim
Zend_Filter_StripTags

Mas e se eu
precisar de
mais de um
filtro, ao
mesmo
tempo?

require('Zend/Filter.php');
require('Zend/Filter/StringToLower.php');
require('Zend/Filter/Word/CamelCaseToDash.php');
// Combinação de Zend_Filter_Word_CamelCaseToDash
// e Zend_Filter_StringToLower
$filtro = new Zend_Filter();
// Interface fluente
$filtro>addFilter(new Zend_Filter_Word_CamelCaseToDash())
>addFilter(new Zend_Filter_StringToLower());
{
echo "Com Filtro:";
echo "$parametro = {$filtro>filter($valor)}";
echo " ";
echo "Sem Filtro:";
echo "$parametro = $valor";
}

Filtros e Validadores do Zend
Framework
Como seria
maravilhoso se
a gente pudesse
aplicar vários
filtros e regras
de validação a
um conjunto de
dados de uma
vez...

Framework
Processador
de
Filtros
e
Validadores
SEUS
PROBLEMAS
ACABARAM!
http://pt.wikipedia.org/wiki/Legi%C3%A3o_dos_Super-Her%C3%B3is

Framework
Filtros transformam os dados, deixando passar apenas o
que interessa.
Regras de validação não transformam os dados; apenas
verificam se eles se atendem a um critério.
Se isso não ficar claro, ficará confuso compreender por
que um dado com uma regra de validação Digits só será
válido se passar pelo filtro Digits.

Framework
require('Zend/Filter/Input.php');
$filtros = array(
'dia' => Digits,
'mes' => Digits,
'ano' => Digits,
'nome' => HtmlEntities
);
$validadores = array(
'dia' => Digits,
'mes' => Digits,
'ano' => Digits,
'nome' => Alpha
);

Framework
$dados = new Zend_Filter_Input($filtros,$validadores,
$_GET);
echo 'Com filtro: ';
echo "dia = {$dados>dia} ";
echo "mes = {$dados>mes} ";
echo "ano = {$dados>ano} ";
echo "nome = {$dados>nome} ";
echo 'Sem filtro: ';
foreach ($_GET as $nome => $dado)
{
echo "$nome = $dado ";
}

Framework: Parâmetros
$regraAno = array(
Digits,
array('Between',1,12)
);
'dia' => Digits,
'mes' => Digits,
'ano' => $regraAno,
'nome' => Alpha
);

Framework: Genéricos
$filtros = array(
'*' => Digits,
);
'*' => Digits,
);

Framework: Metacomandos
'nome' => array(
                'Alpha',
                'presence' => required'),
      'senha' => array(
'StringEquals',
                 'default' => 12345,
                 'fields'  => array(
  'senha1',
  'senha2'))
);

Framework: Metacomandos
'endereco' => array(
                'Alnum',
                'allowEmpty' => true),
      'senha' => array(
'StringEquals',
                 'fields'  => array(
  'senha1',
  'senha2'),
                 'messages' => 'As senhas
devem ser iguais!')
);

Framework: Métodos
IsValid() ou isValid($campo)
hasValid()
hasMissing()
hasUnknown()
getMessages() = getInvalid() + getMissing()
getUnknown()
getEscaped()
getUnescaped()

Listas de controle de acesso
QUEM É
VOCÊ, O
QUE VOCÊ
QUER E
PARA QUEM
VOCÊ
TRABALHA?
http://pt.wikipedia.org/wiki/Batman

Uma lista de controle de acesso define papéis,
recursos e as permissões dos papéis para os
recursos.
Em suma, quem pode fazer o quê.
Papel não é grupo nem usuário. Esses dois podem
exercer um ou mais papéis e um papel pode ser
exercido por um ou mais usuários e grupos.
O ZF não implementa usuário e grupos.

No Zend Framework:
Um recurso é um objeto cujo acesso é controlado;
Um papel é um objeto que pode requisitar acesso a
um recurso.
Colocando de forma simples, papéis requisitam
acesso a recursos, ou, de outra forma, papéis
requisitam autorização a recursos.

Listas de controle de acesso:
recursos
require('Zend/Acl/Resource.php');
$recurso = new
Zend_Acl_Resource('impressao');

recursos
class Impressao implements
Zend_Acl_Resource_Interface
{
private $_id;
public function getResourceId()
{
return $this>_id;
}
}

papéis
require('Zend/Acl/Role.php');
$papel = new Zend_Acl_Role('administrador');

require('Zend/Acl.php');
$acl = new Zend_Acl();
$acl>addRole(new Zend_Acl_Role('administrador'))
>addRole(new Zend_Acl_Role('membro'))
>addRole(new Zend_Acl_Role('convidado'));

papéis
$pais =
array('administrador','membro','convidado');
$acl>addRole(new Zend_Acl_Role('superusuario'),
$pais);

adicionando recursos
$recurso = new Zend_Acl_Resource('cadastro');
$acl>add($recurso);

permissões
$acl>add(new Zend_Acl_Resource('cadastro'));
$acl>allow('administrador','cadastro');
$acl>deny('convidado','cadastro');

permissões
$acl>allow('administrador','cadastro');
$acl>deny('convidado','cadastro');
echo 'Acesso '.($acl
>isAllowed('administrador','cadastro') ?
'permitido' : 'negado');
>isAllowed('convidado','cadastro') ? 'permitido' :
'negado');
>isAllowed('membro','cadastro') ? 'permitido' :
'negado');

privilégios
Existem duas possibilidades com relação a
permissão. Ela pode ser dada para o
recurso como um todo ou para um conjunto
de privilégios que o papel tem sobre o
recurso.
Quando não definimos privilégios, estamos
implicitamente usando um único privilégio,
que é o mero acesso ao recurso.

privilégios
$acl>addRole(new Zend_Acl_Role('membro'));
$acl>allow('membro','cadastro',array('editar','ver'));
$acl>deny('membro','cadastro',array('incluir','excluir'));
>isAllowed('membro','cadastro','ver') ? 'permitido' :
'negado');
>isAllowed('membro','cadastro','excluir') ? 'permitido' :
'negado');

Autenticação
Autenticar significa verificar se alguém é
quem diz ser baseado em uma série de
credenciais.
Autenticação é diferente de autorização.
Autorização é o processo de decidir se uma
entidade pode acessar ou executar
operações sobre outras entidades. É
implementada com Zend_Acl

Autenticação
O componente Zend_Auth usa o padrão
de projeto Adapter para autenticar
contra um tipo particular de serviço de
autenticação, tal como:
●
LDAP
●
SGBD
●
Armazenamento baseado em arquivos

Autenticação
$registry = Zend_Registry::getInstance();
try
{
$post = $registry['post'];
$matricula = (int)$post>cpf;
$senha = $post>senha;
$usuarios = new Usuarios();
$authAdapter = new
Zend_Auth_Adapter_DbTable($usuarios
>getAdapter());

Autenticação
$authAdapter>setTableName('usuarios')
>setIdentityColumn('cpf')
>setCredentialColumn('senha');
$authAdapter>setIdentity($cpf);
$authAdapter
>setCredential(Usuarios::criptografar($senh
a));

Autenticação
$resultado = $authAdapter
>authenticate();
if ($resultado>isValid())
{
$registry['session']>dataAuth =
$authAdapter
>getResultRowObject();
Zend_Registry::set('session',
$registry['session']);
$this>_redirect('/index/menu');
}

Autenticação
else
{
$mensagens = '';
foreach ($resultado>getMessages() as
$mensagem)
{
$mensagens .= $mensagem;
}
$registry['session']>mensagem =
$mensagens;

Autenticação
$this>_redirect('/index/index');
}
}
catch (Exception $e)
{
$registry['session']>mensagem = $e
>getMessage();
$this>_redirect('/index/index');
}

Segurança no acesso ao banco
Um dos problemas de segurança envolvendo banco
de dados é a injeção de SQL através da entrada de
dados da aplicação.
O componente Zend_Db e suas extensões
oferecem métodos que permitem barrar tentativas
de adulterar declarações SQL.

Segurança no acesso ao banco
Faltou MUITA COISA! Este foi apenas um tópico dentro
do tema frameworks.
Quando você ver segurança em um contexto mais
amplo, certamente perguntará COMO resolver tantos
problemas. Aí ficará evidente a necessidade de
frameworks... de segurança!

Fontes de consulta
● Documentação on-line (en, fr, de, jp, cn...)
● Comunidade
● Fóruns, listas de discussão, IRC (#zftalk)
www.zfbrasil.com
● Livros disponíveis em português (agora, né)

Referências
Galvão, E. A. PHP & Segurança: Uma União Possível.
Disponível em <http://www.galvao.eti.br> em
02/05/2007.
Howard, M. E Leblanc, D. Escrevendo Código Seguro.
2. ed. Porto Alegre. Bookman, 2006.
Pessoa, M. Segurança em PHP. São Paulo. Novatec,
2007.
http://framework.zend.com

Foi
uma
grande
honra!
http://pt.wikipedia.org/wiki/Lanterna_Verde
2011 coming soon..
Obrigado

Desenvolvendo Código Seguro com Zend Framework

Recomendados

Recomendados

Mais conteúdo relacionado

Semelhante a Desenvolvendo Código Seguro com Zend Framework

Semelhante a Desenvolvendo Código Seguro com Zend Framework (18)

Mais de Flávio Lisboa

Mais de Flávio Lisboa (20)

Desenvolvendo Código Seguro com Zend Framework