नमस्कार, हेब्र! मैं आपके लिए लेख प्रस्तुत करता हूं सुरक्षा कमजोरियों से अपने ग्राफकॉल एपीआई की रक्षा करना ।

ग्राफकलाइन तेजी से उन डेवलपर्स की पसंद बनता जा रहा है, जिन्हें अपने क्लाइंट एप्लिकेशन के लिए एपीआई बनाने की जरूरत है। लेकिन, सभी नई तकनीकों की तरह, ग्राफकॉल कुछ अंतर्निहित सुरक्षा जोखिमों के अधीन है। भले ही आप एक तृतीय-पक्ष परियोजना या बड़े पैमाने पर उद्यम अनुप्रयोग का निर्माण कर रहे हों, आपको यह सुनिश्चित करने की आवश्यकता है कि आप इन खतरों से अपनी रक्षा करें।

हालाँकि, इस पोस्ट में सूचीबद्ध खतरे ग्राफक्यूएल के लिए विशिष्ट हैं, लेकिन आपका कार्यान्वयन खतरों का एक नया सेट पेश करेगा जिसे संबोधित करने की आवश्यकता होगी। यह भी महत्वपूर्ण है कि आप उन खतरों को समझते हैं जिनसे नेटवर्क पर चलने वाले किसी भी एप्लिकेशन को उजागर किया जाता है।

खतरा: बड़ी, गहरी नेस्टेड क्वेरी जो गणना करने के लिए महंगी हैं

समाधान : घोंसले की गहराई सीमा

GraphQL द्वारा प्रदान की गई शक्ति कुछ नए सुरक्षा खतरों से जुड़ी है। सबसे आम गहरी नेस्टेड क्वेरी हैं, जो महंगी संगणना और विशाल JSON की ओर ले जाती हैं, जो नेटवर्क और इसकी बैंडविड्थ को प्रतिकूल रूप से प्रभावित कर सकती हैं।

इस तरह के हमले से अपने एपीआई की रक्षा करने का सही तरीका अनुरोधों की गहराई को सीमित करना है ताकि परिणाम की गणना होने तक दुर्भावनापूर्ण गहरे अनुरोध अवरुद्ध हो जाएं।

GraphQL गहराई सीमा क्वेरी की गहराई को सीमित करने के लिए एक सरल इंटरफ़ेस प्रदान करता है।

import depthLimit from 'graphql-depth-limit' import express from 'express' import graphqlHTTP from 'express-graphql' import schema from './schema' const app = express() app.use('/graphql', graphqlHTTP((req, res) => ({ schema, validationRules: [ depthLimit(10) ] }))) 

धमकी: जानवर बल कमजोर उत्परिवर्तन अनुरोध

समाधान : अनुरोधों की संख्या को सीमित करें

हैकिंग के इतिहास में लॉगिंग और पासवर्ड सर्च करना सबसे पुराना ट्रिक है। पिछले एक दशक में, इंटरनेट पर इतने डेटा लीक हुए कि हाल ही में 772,904,991 यूनिक ईमेल और 21,222,975 यूनिक पासवर्ड का डेटाबेस मिला। यह जांचने के लिए कि क्या आपके मेल और पासवर्ड के बारे में जानकारी लीक हुई थी, ट्रॉय हंट ने एक हैव्ड पीडब्लू वेबसाइट बनाई थी, जिसके लिए, दूसरों के बीच, उन्होंने इस डेटाबेस का उपयोग किया था।

सौभाग्य से, आपके पास हमलावरों के लिए खोज को वास्तव में कठिन और महंगा बनाने का एक आसान तरीका है, जो आपको उनके लिए कम आकर्षक लक्ष्य बना देगा।

ग्राफक्लाइन दर सीमा प्लगइन आपको तीन अलग-अलग तरीकों से अपने प्रश्नों के लिए प्रतिबंध निर्दिष्ट करने की अनुमति देता है: कस्टम ग्राफक्-शील्ड निर्देशों का उपयोग करना या फ़ंक्शन का उपयोग करके प्रश्नों की आधार संख्या को सीमित करना।

यह प्लगइन आपको एक समय विंडो और इसके लिए अनुरोधों की संख्या पर एक सीमा निर्धारित करने की अनुमति देगा। बहुत कमजोर अनुरोधों के लिए एक बड़ी समय खिड़की सेट करना, जैसे कि लॉग इन करना और कम असुरक्षित अनुरोधों के लिए छोटी समय खिड़कियां आपको सामान्य उपयोगकर्ताओं के लिए सुखद अनुभव बनाए रखने में मदद करेगी और हमलावरों के लिए एक बुरा सपना बन जाएगी।

अनुरोधों की संख्या को सीमित करने के लिए एक निर्देश बनाएं:

यहां आपको प्रत्येक अनुरोध के लिए एक विशिष्ट पहचानकर्ता की आवश्यकता होगी। आप उपयोगकर्ता के आईपी पते या अन्य पहचानकर्ता का उपयोग कर सकते हैं, जो प्रत्येक उपयोगकर्ता के लिए अद्वितीय है और प्रत्येक अनुरोध से मेल खाता है।

 const rateLimitDirective = createRateLimitDirective({ identifyContext: (context) => { return context.id }, }) 

अपने स्कीमा में एक निर्देश जोड़ें:

 import { createRateLimitDirective } from 'graphql-rate-limit' export const schema = { typeDefs, resolvers, schemaDirectives: { rateLimit: rateLimitDirective, }, } export default schema 

अंत में, अपनी असुरक्षित क्वेरी के लिए एक निर्देश जोड़ें:

 #        60  Login(input: LoginInput!): User @rateLimit( window: "60s" max: 10 message: "You are doing that too often. Please wait 60 seconds before trying again." ) 

खतरा: उपयोगकर्ता को उपयोगकर्ता-विशिष्ट डेटा को प्रभावित करने की अनुमति देता है

समाधान : इस डेटा को जहां संभव हो, उपयोगकर्ता सत्र से लें

यह मान लेना आसान है कि यदि आप उपयोगकर्ता को संसाधन अपडेट करने की अनुमति देना चाहते हैं, तो यह उपयोगकर्ता को यह तय करने के लायक है कि वह किस संसाधन को अपडेट करना चाहता है। लेकिन क्या होगा अगर किसी उपयोगकर्ता को एक संसाधन पहचानकर्ता मिलता है जो वास्तव में उस तक पहुंच नहीं होनी चाहिए?

मान लीजिए कि हमारे पास एक अपडेटयूजर म्यूटेशन अनुरोध है जो उपयोगकर्ता को अपनी प्रोफ़ाइल अपडेट करने की अनुमति देता है।

 mutation UpdateUser($input: {"id": "test123" , "email": "test@example.com"}) { UpdateUser(input: $input) { id firstName lastName } } 

यदि सर्वर साइड पर कोई सुरक्षा नहीं है, तो एक हमलावर, पहचानकर्ताओं की एक सूची होने से, किसी भी उपयोगकर्ता के लिए ईमेल पते को संभावित रूप से अपडेट कर सकता है। यहाँ स्पष्ट समाधान यह सुनिश्चित करने के लिए है कि इनपुट फ़ील्ड में वर्तमान उपयोगकर्ता की आईडी आईडी से मेल खाती है।

ऐसा न करें:

 function updateUser({ id, email }) { return User.findOneAndUpdate({ _id: id }, { email }) .catch(error => { throw error; }); } 

इस समस्या को हल करने का एक कम स्पष्ट लेकिन सही तरीका यह है कि पहचानकर्ता को इनपुट के रूप में और उपयोगकर्ता पहचानकर्ता को संदर्भ ऑब्जेक्ट से उपयोग करने से रोका जाए।

यह करें:

 function updateUser({ email }, context) { return User.findOneAndUpdate({ _id: context.user._id }, { email }) .catch(error => { throw error; }); } 

शायद यह एक बल्कि तुच्छ उदाहरण है, लेकिन प्रत्येक ऑब्जेक्ट के लिए ऐसी क्रियाएं करना, जिनके साथ उपयोगकर्ता सीधे इंटरैक्ट करता है, आपको कई जोखिमपूर्ण त्रुटियों से बचा सकता है।

एक साथ कई महंगे प्रश्नों की पूर्ति

समाधान : क्वेरी लागत सीमा

प्रत्येक अनुरोध के लिए एक मूल्य प्रदान करके और प्रति अनुरोध अधिकतम मूल्य का संकेत देकर, हम घुसपैठियों से खुद की रक्षा कर सकते हैं जो एक ही समय में बहुत सारे महंगे अनुरोधों को पूरा करने का प्रयास कर सकते हैं।

रेखांकन लागत विश्लेषण प्लगइन प्रश्नों की लागत और अधिकतम लागत सीमा को निर्दिष्ट करने का एक आसान तरीका है।

अधिकतम लागत निर्धारित करें:

 app.use( '/graphql', graphqlExpress(req => { return { schema, rootValue: null, validationRules: [ costAnalysis({ variables: req.body.variables, maximumCost: 1000, }), ], } }) ) 

प्रत्येक अनुरोध के लिए लागत निर्धारित करें:

 Query: { Article: { multipliers: ['limit'], useMultipliers: true, complexity: 3, }, } 

खतरा: ग्राफकॉल के कार्यान्वयन विवरण का खुलासा करना

समाधान : "मुकाबला" कोड में आत्मनिरीक्षण अक्षम करें

GraphQL एक अत्यंत उपयोगी विकास उपकरण है। यह इतना शक्तिशाली है कि यह आपके लिए आपकी योजना, अनुरोधों और सदस्यता का भी दस्तावेज देता है। यह जानकारी उन हमलावरों के लिए सोने की खान हो सकती है जो आपके आवेदन में कमजोरियां ढूंढना चाहते हैं।

GraphQL प्रदर्शन आत्मनिरीक्षण प्लगइन आपके स्कीमा को सार्वजनिक रूप से लीक होने से रोकेगा। बस प्लगइन आयात करें और इसे अपने सत्यापन नियमों पर लागू करें।

 import express from 'express'; import bodyParser from 'body-parser'; import { graphqlExpress } from 'graphql-server-express'; + import NoIntrospection from 'graphql-disable-introspection'; const myGraphQLSchema = // ...    ! const PORT = 3000; var app = express(); app.use('/graphql', bodyParser.json(), graphqlExpress({ schema: myGraphQLSchema, validationRules: [NoIntrospection] })); app.listen(PORT);