چک لیست امنیتی Firebase

قوانین را در حالت تولید یا قفل راه اندازی کنید

هنگامی که Cloud Firestore ، Realtime Database و Cloud Storage را راه اندازی می کنید، قوانین امنیتی خود را راه اندازی کنید تا به طور پیش فرض همه دسترسی ها را رد کنید، و قوانینی را اضافه کنید که به منابع خاصی در حین توسعه برنامه خود دسترسی داشته باشید.

از یکی از تنظیمات پیش‌فرض برای نمونه‌های جدید Cloud Firestore (حالت تولید) و Realtime Database (حالت قفل) استفاده کنید. برای Cloud Storage ، با پیکربندی قوانین امنیتی مانند زیر شروع کنید:

rules_version = '2';
service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      allow read, write: if false;
    }
  }
}

قوانین امنیتی یک طرح واره هستند. هنگام اضافه کردن اسناد، قوانین را اضافه کنید

قوانین امنیتی را بعد از نوشتن برنامه خود، به عنوان نوعی کار پیش از راه اندازی، ننویسید. در عوض، هنگام نوشتن برنامه خود، قوانین امنیتی را بنویسید و با آنها مانند یک طرح پایگاه داده رفتار کنید: هر زمان که نیاز به استفاده از نوع سند یا ساختار مسیر جدید دارید، ابتدا قانون امنیتی آن را بنویسید.

قوانین امنیتی تست واحد با Local Emulator Suite . آن را به CI اضافه کنید

برای اطمینان از اینکه قوانین امنیتی شما مطابق با توسعه برنامه شما هستند، قوانین خود را با Firebase Local Emulator Suite آزمایش کنید و این آزمایش ها را به خط لوله CI خود اضافه کنید. این راهنماها را برای Cloud Firestore و Realtime Database ببینید.

احراز هویت

احراز هویت سفارشی: JWT ها را از یک محیط قابل اعتماد (سمت سرور) برش دهید

اگر قبلاً یک سیستم ورود به سیستم امن دارید، چه یک سیستم سفارشی یا یک سرویس شخص ثالث، می‌توانید از سیستم موجود خود برای احراز هویت با خدمات Firebase استفاده کنید. JWT های سفارشی را از یک محیط قابل اعتماد ایجاد کنید ، سپس توکن ها را به مشتری خود منتقل کنید، که از توکن برای احراز هویت استفاده می کند ( iOS+ ، Android ، Web ، Unity ، C++ ).

برای مثالی از استفاده از احراز هویت سفارشی با ارائه‌دهنده شخص ثالث، به پست وبلاگ، احراز هویت با Firebase با استفاده از Okta مراجعه کنید.

احراز هویت مدیریت شده: ارائه دهندگان OAuth 2.0 امن ترین هستند

اگر از ویژگی‌های احراز هویت مدیریت شده Firebase استفاده می‌کنید، گزینه‌های ارائه‌دهنده OAuth 2.0 / OpenID Connect (Google، Facebook، و غیره) امن‌ترین هستند. اگر می توانید (بسته به پایگاه کاربری خود) باید از یک یا چند مورد از این ارائه دهندگان پشتیبانی کنید.

احراز هویت رمز عبور ایمیل: برای جلوگیری از حملات brute force، سهمیه محدودی را برای نقطه پایانی ورود به سیستم تعیین کنید.

اگر از سرویس احراز هویت گذرواژه ایمیل مدیریت شده Firebase استفاده می‌کنید، سهمیه پیش‌فرض نقاط انتهایی identitytoolkit.googleapis.com سفت کنید تا از حملات brute force جلوگیری کنید. می توانید این کار را از صفحه Identity Toolkit API در کنسول Google Cloud انجام دهید.

احراز هویت با رمز عبور ایمیل: حفاظت از شمارش ایمیل را فعال کنید

اگر از سرویس احراز هویت رمز عبور ایمیل مدیریت شده Firebase استفاده می‌کنید، محافظت از شمارش ایمیل را فعال کنید ، که از سوء استفاده عوامل مخرب از نقاط پایانی تأیید پروژه شما برای حدس زدن نام حساب‌ها جلوگیری می‌کند.

برای احراز هویت چند عاملی به Google Cloud Identity Platform ارتقا دهید

برای امنیت بیشتر در ورود به سیستم، می‌توانید با ��رتقا به Google Cloud Identity Platform پشتیبانی از احراز هویت چند مرحله‌ای را اضافه کنید. کد Firebase Authentication موجود شما پس از ارتقاء به کار خود ادامه خواهد داد.

احراز هویت ناشناس

فقط از احراز هویت ناشناس برای ورود گرم استفاده کنید

فقط از احراز هویت ناشناس برای ذخیره وضعیت اولیه برای کاربران قبل از ورود به سیستم استفاده کنید. احراز هویت ناشناس جایگزینی برای ورود به سیستم کاربر نیست.

اگر کاربران می‌خواهند داده‌های خود را در دستگاه‌های دیگر بخواهند، به روش دیگری برای ورود به سیستم تبدیل کنید

اگر کاربر فضای ذخیره‌سازی محلی را پاک کند یا دستگاه‌ها را تغییر دهد، داده‌های احراز هویت ناشناس باقی نمی‌مانند . اگر نیاز دارید که داده‌ها را فراتر از راه‌اندازی مجدد برنامه در یک دستگاه نگه دارید، کاربر را به یک حساب دائمی تبدیل کنید .

از قوانین امنیتی استفاده کنید که کاربران را ملزم می کند به ارائه دهنده ورود به سیستم تبدیل شده یا ایمیل خود را تأیید کرده باشند

هر کسی می تواند یک حساب کاربری ناشناس در پروژه شما ایجاد کند. با در نظر گرفتن این موضوع، از همه داده‌های غیر عمومی با قوانین امنیتی محافظت کنید که به روش‌های ورود به سیستم یا آدرس‌های ایمیل تأیید شده نیاز دارند .

به عنوان مثال:

allow write: if request.auth.token.firebase.sign_in_provider != "anonymous";
allow write: if request.auth.token.email_verified = true;

ایمنی Cloud Functions

هرگز اطلاعات حساس را در متغیرهای محیط قرار ندهید

اغلب در یک برنامه Node.js خود میزبان، از متغیرهای محیطی برای حاوی اطلاعات حساس مانند کلیدهای خصوصی استفاده می کنید. این کار را در Cloud Functions انجام ندهید . از آنجایی که Cloud Functions از محیط‌ها بین فراخوانی‌های تابع استفاده مجدد می‌کند، اطلاعات حساس نباید در محیط ذخیره شوند.

• برای ذخیره کلیدهای API Firebase (که مخفی نیستند )، فقط آنها را در کد ��اسازی کنید.

• اگر از Firebase Admin SDK در Cloud Functions استفاده می‌کنید، نیازی به ارائه صریح اعتبار حساب سرویس ندارید، زیرا Admin SDK می‌تواند به‌طور خودکار آنها را در طول اولیه‌سازی به دست آورد.

• اگر با Google و Google Cloud APIهایی تماس می‌گیرید که به اعتبارنامه حساب سرویس نیاز دارند، کتابخانه Google Auth برای Node.js می‌تواند این اعتبارنامه‌ها را از اعتبارنامه‌های پیش‌فرض برنامه ، که به‌طور خودکار در Cloud Functions پر می‌شوند، دریافت کند.

• برای در دسترس قرار دادن کلیدهای خصوصی و اعتبارنامه‌های سرویس‌های غیر Google در Cloud Functions ، از Secret Manager استفاده کنید.

اطلاعات حساس را رمزگذاری کنید

اگر نمی توانید از انتقال اطلاعات حساس به عملکردهای خود اجتناب کنید، باید راه حل سفارشی خود را برای رمزگذاری اطلاعات ارائه دهید.

توابع ساده ایمن تر هستند. اگر به پیچیدگی نیاز دارید، Cloud Run در نظر بگیرید

سعی کنید عملکردهای خود را تا حد امکان اساسی و قابل درک نگه دارید. پیچیدگی در عملکردهای شما اغلب می تواند منجر به اشکالات یا رفتار غیرمنتظره شود.

اگر به تنظیمات پیچیده منطقی یا محیطی نیاز دارید، از Cloud Run به جای Cloud Functions استفاده کنید.

مدیریت محیط زیست

راه اندازی پروژه های توسعه و مرحله بندی

پروژه های Firebase جداگانه برای توسعه، مرحله بندی و تولید راه اندازی کنید. کد مشتری را تا زمانی که در برابر پروژه مرحله‌بندی آزمایش نشده است با تولید ادغام نکنید.

دسترسی تیم به داده های تولید را محدود کنید

اگر با تیم بزرگ‌تری کار می‌کنید، می‌توانید با محدود کردن دسترسی به داده‌های تولید با استفاده از نقش‌های از پیش تعریف‌شده IAM یا نقش‌های سفارشی IAM ، پیامدهای اشتباهات و نقض‌ها را کاهش دهید.

اگر تیم شما از Firebase Local Emulator Suite (توصیه می‌شود) برای توسعه استفاده می‌کند، ممکن است نیازی به اجازه دسترسی گسترده‌تر به پروژه تولید نداشته باشید.

مدیریت کتابخانه

مراقب غلط املایی کتابخانه یا نگهدارنده های جدید باشید

هنگام افزودن کتابخانه ها به پروژه خود، به نام کتابخانه و نگهبانان آن توجه زیادی داشته باشید. کتابخانه ای با نام مشابه با کتابخانه ای که قصد نصب آن را دارید می تواند حاوی کدهای مخرب باشد.

بدون درک تغییرات، کتابخانه ها را به روز نکنید

قبل از ارتقا، به گزارش تغییرات کتابخانه‌هایی که استفاده می‌کنید نگاه کنید. مطمئن شوید که ارتقاء ارزش اضافه می‌کند و بررسی کنید که نگهدارنده هنوز طرف مورد اعتماد شما باشد.

کتابخانه‌های Watchdog را به‌عنوان برنامه‌نویس یا وابستگی آزمایشی نصب کنید

از کتابخانه ای مانند Snyk برای بررسی وابستگی های ناامن پروژه خود استفاده کنید.

تنظیم نظارت برای Cloud Functions ؛ پس از به روز رسانی کتابخانه آن را بررسی کنید

اگر از Cloud Functions Logger SDK استفاده می‌کنید، می‌توانید رفتارهای غیرعادی، از جمله رفتارهای ناشی از به‌روزرسانی‌های کتابخانه را کنترل کنید و از آن مطلع شوید .