Audit CouchDB: la valutazione di sicurezza semplice e chiara per CouchDB

Audit CouchDB è uno strumento semplice con un messaggio potente. Data un'URL di Apache CouchDB, ti dirà tutto ciò che hai sempre voluto sapere sulla sua sicurezza.

Obiettivo

Audit CouchDB eseguirà le seguenti azioni:

1. Apprendere ogni possibile informazione sul couch, ad esempio:

• Qual è la configurazione del server?
• Quali account utente esistono?
• Quali ruoli utente esistono?
• Quali database esistono?
• In ogni database, qual è l'impostazione di sicurezza?
• In ogni documento di progettazione, quali sono le funzioni di validazione?

2. Date le informazioni, confrontarle tra loro e avvisare se implicano un problema di sicurezza, ad esempio:

• Ovviamente non ti sei preoccupato di cliccare sul collegamento "Sicurezza" nella pagina del database in Futon
• Gli avvisi CVE pubblicati si applicano alla tua versione di CouchDB
• A un documento di progettazione manca una funzione validate_doc_update
• Riepiloghi utili su quanti amministratori, utenti normali e utenti anonimi possono accedere a ciascun database

Utilizzo

Attualmente, Audit CouchDB è un'applicazione Node distribuita tramite NPM. Installala (globalmente) tramite npm.

npm install -g audit_couchdb

Successivamente, esegui lo strumento con la tua URL di CouchDB come parametro. Dovresti connetterti come utente amministratore, in modo che Audit CouchDB possa recuperare tutte le possibili informazioni (come la configurazione).

audit_couchdb https://admin:secret@localhost:5984

Lo strumento restituirà tutto ciò che sa sulla sicurezza del tuo couch.

Per vedere come funziona audit_couchdb, imposta il suo livello di log su debug. Mostrerà ogni query che effettua mentre apprende informazioni sul tuo couch.

audit_couchdb --level=debug https://admin:secret@localhost:5984

Esecuzione dal Browser

Audit CouchDB è implementato come libreria, che dipende da una libreria request back-end e da un front-end per visualizzare l'output (semplice output di testo console, o log4j se installato).

Recentemente ho reimplementato request nel browser come jQuery Request. Quindi sono entusiasta di vedere Audit CouchDB funzionare sul browser, tuttavia non ho ancora iniziato questo lavoro.