Audit CouchDB: Die einfache, klare CouchDB-Sicherheitsbewertung

Audit CouchDB ist ein einfaches Tool mit einer starken Aussage. Bei Angabe einer Apache CouchDB-URL teilt es Ihnen alles mit, was Sie jemals über dessen Sicherheit wissen wollten.

Zielsetzung

Audit CouchDB führt die folgenden Aktionen aus:

1. Alle möglichen Fakten über die Couch erfahren, zum Beispiel:

• Wie lautet die Serverkonfiguration?
• Welche Benutzerkonten existieren?
• Welche Benutzerrollen existieren?
• Welche Datenbanken existieren?
• In jeder Datenbank, wie lauten die Sicherheitseinstellungen?
• In jedem Design-Dokument, welche Validierungsfunktionen gibt es?

2. Angesichts der Fakten, diese miteinander vergleichen und warnen, wenn sie ein Sicherheitsproblem andeuten, zum Beispiel:

• Sie haben offensichtlich nicht den 'Security'-Link auf der Datenbankseite in Futon angeklickt
• Veröffentlichte CVE-Warnungen gelten für Ihre Version von CouchDB
• Einem Design-Dokument fehlt eine validate_doc_update-Funktion
• Hilfreiche Zusammenfassungen darüber, wie viele Administratoren, normale Benutzer und anonyme Benutzer auf jede Datenbank zugreifen können

Verwendung

Derzeit ist Audit CouchDB eine Node-Anwendung, die über NPM verteilt wird. Installieren Sie es (global) über npm.

npm install -g audit_couchdb

Führen Sie als Nächstes das Tool mit Ihrer CouchDB-URL als Parameter aus. Sie sollten sich als Administrator verbinden, damit Audit CouchDB alle möglichen Informationen (wie die Konfiguration) abrufen kann.

audit_couchdb https://admin:secret@localhost:5984

Das Tool gibt alles aus, was es über die Sicherheit Ihres Couchs weiß.

Um zu sehen, wie audit_couchdb arbeitet, setzen Sie dessen Log-Level auf debug. Es zeigt Ihnen jede Abfrage, die es stellt, während es Fakten über Ihren Couch lernt.

audit_couchdb --level=debug https://admin:secret@localhost:5984

Ausführen im Browser

Audit CouchDB ist als Bibliothek implementiert, die von einer Backend-request-Bibliothek abhängt, und einem Frontend zur Anzeige der Ausgabe (einfache Konsolen-Textausgabe oder log4j, falls installiert).

Ich habe kürzlich request im Browser als jQuery Request neu implementiert. Daher freue ich mich darauf, Audit CouchDB im Browser ausführen zu sehen, jedoch habe ich mit dieser Arbeit noch nicht begonnen.