Audit CouchDB: La semplice e chiara valutazione della sicurezza di CouchDB

Audit CouchDB è uno strumento semplice con un messaggio potente. Dato un URL di Apache CouchDB, ti dirà tutto ciò che hai sempre voluto sapere sulla sua sicurezza.

Obiettivo

Audit CouchDB eseguirà le seguenti azioni:

1. Apprendere ogni possibile informazione sul couch, ad esempio:

• Qual è la configurazione del server?
• Quali account utente esistono?
• Quali ruoli utente esistono?
• Quali database esistono?
• In ciascun database, qual è l'impostazione di sicurezza?
• In ciascun documento di design, quali sono le funzioni di validazione?

2. Dati i fatti, confrontarli tra loro e avvisare se implicano un problema di sicurezza, ad esempio:

• Ovviamente non ti sei preoccupato di cliccare sul link "Security" nella pagina del database in Futon
• Gli avvisi CVE pubblicati si applicano alla tua versione di CouchDB
• Un documento di design è privo di una funzione validate_doc_update
• Riepiloghi utili su quanti amministratori, utenti normali e utenti anonimi possono accedere a ciascun database

Utilizzo

Attualmente, Audit CouchDB è un'applicazione Node distribuita tramite NPM. Installala (globalmente) tramite npm.

npm install -g audit_couchdb

Successivamente, esegui lo strumento con il tuo URL di CouchDB come parametro. Dovresti connetterti come utente amministratore, in modo che Audit CouchDB possa ottenere tutte le informazioni possibili (come la configurazione).

audit_couchdb https://admin:secret@localhost:5984

Lo strumento restituirà tutto ciò che sa sulla sicurezza del tuo couch.

Per vedere come funziona audit_couchdb, imposta il suo livello di log su debug. Mostrerà ogni query che effettua mentre apprende informazioni sul tuo couch.

audit_couchdb --level=debug https://admin:secret@localhost:5984

Esecuzione dal Browser

Audit CouchDB è implementato come libreria, che dipende da una libreria back-end request e da un front-end per visualizzare l'output (semplice output testuale su console, o log4j se installato).

Di recente ho reimplementato request nel browser come jQuery Request. Quindi sono entusiasta di vedere Audit CouchDB funzionare nel browser, tuttavia non ho ancora iniziato questo lavoro.