Audit CouchDB : L'évaluation de sécurité simple et claire de CouchDB

Audit CouchDB est un outil simple avec un message puissant. Étant donné une URL Apache CouchDB, il vous dira tout ce que vous avez toujours voulu savoir sur sa sécurité.

Objectif

Audit CouchDB effectuera les actions suivantes :

1. Apprendre tous les faits possibles sur le couch, par exemple :

• Quelle est la configuration du serveur ?
• Quels comptes utilisateur existent ?
• Quels rôles utilisateur existent ?
• Quelles bases de données existent ?
• Dans chaque base de données, quel est le paramètre de sécurité ?
• Dans chaque document de conception, quelles sont les fonctions de validation ?

2. Étant donné les faits, les comparer entre eux et avertir s'ils impliquent un problème de sécurité, par exemple :

• Vous n'avez visiblement pas pris la peine de cliquer sur le lien « Sécurité » dans la page de la base de données dans Futon
• Les alertes CVE publiées s'appliquent à votre version de CouchDB
• Un document de conception est dépourvu d'une fonction validate_doc_update
• Résumés utiles du nombre d'administrateurs, d'utilisateurs normaux et d'utilisateurs anonymes pouvant accéder à chaque base de données

Utilisation

Actuellement, Audit CouchDB est une application Node distribuée via NPM. Installez-la (globalement) via npm.

npm install -g audit_couchdb

Ensuite, exécutez l'outil avec votre URL CouchDB en paramètre. Vous devez vous connecter en tant qu'utilisateur administrateur, afin qu'Audit CouchDB puisse récupérer toutes les informations possibles (telles que la configuration).

audit_couchdb https://admin:secret@localhost:5984

L'outil affichera tout ce qu'il sait sur la sécurité de votre couch.

Pour voir comment audit_couchdb fonctionne, définissez son niveau de journalisation sur debug. Il vous montrera chaque requête qu'il effectue en apprenant des faits sur votre couch.

audit_couchdb --level=debug https://admin:secret@localhost:5984

Exécution depuis le navigateur

Audit CouchDB est implémenté comme une bibliothèque, dépendant d'une bibliothèque back-end request, et d'un front-end pour afficher la sortie (simple sortie texte console, ou log4j si installé).

J'ai récemment réimplémenté request dans le navigateur sous le nom jQuery Request. Je suis donc enthousiaste à l'idée de voir Audit CouchDB s'exécuter dans le navigateur, mais je n'ai pas encore commencé ce travail.