Чи безпечно експонувати Firebase apiKey перед громадськістю?

Посібник для веб-додатків Firebase зазначає, що я повинен вкласти дані apiKeyу свій Html для ініціалізації Firebase:

// TODO: Replace with your project's customized code snippet
<script src="https://www.gstatic.com/firebasejs/3.0.2/firebase.js"></script>
<script>
  // Initialize Firebase
  var config = {
    apiKey: '<your-api-key>',
    authDomain: '<your-auth-domain>',
    databaseURL: '<your-database-url>',
    storageBucket: '<your-storage-bucket>'
  };
  firebase.initializeApp(config);
</script>

Роблячи це, apiKeyвипробовується кожен відвідувач. Яка мета цього ключа і чи він насправді має намір бути публічним?

ApiKey у цьому фрагменті конфігурації просто ідентифікує ваш Firebase проект на серверах Google. Для когось це не є ризиком для безпеки. Насправді їм потрібно це знати, щоб вони взаємоділи з вашим проектом Firebase. Ці ж дані конфігурації також містяться у кожному додатку для iOS та Android, який використовує Firebase як резервний.

У цьому сенсі він дуже схожий на URL бази даних , який ідентифікує серверну базу даних , пов'язаних з вашим проектом в тому ж фрагменті коду: https://<app-id>.firebaseio.com. Дивіться це питання про те, чому це не є ризиком безпеки: як обмежити зміну даних Firebase? , включаючи використання правил безпеки серверної бази Firebase, щоб забезпечити доступ до сервісів сервера лише авторизованим користувачам.

Якщо ви хочете дізнатися, як забезпечити доступ до всіх даних до ваших серверних сервісів Firebase, ознайомтеся з документацією щодо правил безпеки Firebase .

Якщо ви хочете зменшити ризик здійснення цих даних конфігурації для контролю версій, подумайте про використання автоматичної конфігурації SDK хостингу Firebase . Хоча ключі все ще залишатимуться в браузері в тому самому форматі, з цим вони вже не будуть жорстко закодовані у ваш код.

Спираючись на відповіді пруфрофро та Френка ван Пуффелена тут , я зібрав цю програму, яка не запобігає вискоблюванню, але може трохи ускладнити використання вашого ключа API.

Попередження. Щоб отримати ваші дані, навіть за допомогою цього методу, можна, наприклад, просто відкрити консоль JS в Chrome і ввести:

firebase.database().ref("/get/all/the/data").once("value", function (data) {
    console.log(data.val());
});

Лише правила безпеки бази даних можуть захищати ваші дані.

Тим не менш, я обмежив використання ключового API для мого доменного імені таким чином:

1. https://console.developers.google.com/apis
2. Виберіть проект Firebase
3. Довірені дані
4. Під клавішами API виберіть ключ браузера. Це має виглядати приблизно так: " Ключ браузера (автоматично створений службою Google) "
5. У « Приймати запити від цього HTTP рекомендувачів (веб - сайти) », додайте URL вашого застосування (Exemple: projectname.firebaseapp.com/*)

Тепер додаток працюватиме лише на цьому конкретному доменному імені. Тому я створив ще один ключ API, який буде приватним для розробки localhost.

1. Клацніть Створити облікові дані> Ключ API

За замовчуванням, як згадував Еммануель Кампос, Firebase лише білі списки localhostта ваш хостинг-домен Firebase .

Щоб переконатися, що я не публікував помилковий ключ API помилково, я використовую один із наведених нижче способів автоматично використовувати більш обмежений у виробництві.

Налаштування для Create-React-App

В /env.development:

REACT_APP_API_KEY=###dev-key###

В /env.production:

REACT_APP_API_KEY=###public-key###

В /src/index.js

const firebaseConfig = {
  apiKey: process.env.REACT_APP_API_KEY,
  // ... 
};

Моя попередня настройка для Webpack:

Я використовую Webpack для створення свого виробничого додатка, і я кладу свій ключ розробки API всередину мого так index.htmlсамо, як ви це робили зазвичай. Потім всередині мого webpack.production.config.jsфайлу я замінюю ключ щоразу, коли index.htmlкопіюється у збірку виробництва:

plugins: [
    new CopyWebpackPlugin([
      {
        transform: function(content, path) {
          return content.toString().replace("###dev-key###", "###public-key###");
        },
        from: './index.html'
      }
    ])
  ]

Я не переконаний піддавати клієнту ключі безпеки / конфігурації. Я б не назвав це безпечним, не тому, що хтось може викрасти всю приватну інформацію з першого дня, тому що хтось може зробити надмірний запит, а також витратити вашу квоту і змусити Google заборгувати багато грошей.

Вам потрібно подумати над багатьма поняттями від обмеження доступу людей до місця, де вони не повинні бути, атак DOS тощо.

Я б більше вважав за краще, щоб клієнт спочатку потрапив на ваш веб-сервер, там ви помістите брандмауер, captcha, cloudflare, користувальницьку безпеку між клієнтом і сервером, або між сервером і firebase, і ви готові йти. Принаймні, ви можете спочатку зупинити підозрювану діяльність, перш ніж вона дістається до вогневої бази. У вас буде набагато більше гнучкості.

Я бачу лише один хороший сценарій використання для використання конфігурації клієнта для внутрішніх звичаїв. Наприклад, у вас є внутрішній домен, і ви впевнені, що сторонні люди не можуть отримати доступ туди, тому ви можете налаштувати середовище, наприклад тип браузера -> firebase.

Я вважаю, що як тільки правила бази даних будуть написані точно, цього буде достатньо для захисту ваших даних. Крім того, є вказівки, яких можна дотримуватися, щоб відповідно структурувати вашу базу даних. Наприклад, зробити вузол UID під користувачами та поставити під нього всю інформацію. Після цього вам потрібно буде застосувати просте правило бази даних, як показано нижче

  "rules": {
    "users": {
      "$uid": {
        ".read": "auth != null && auth.uid == $uid",
        ".write": "auth != null && auth.uid == $uid"
      }
    }
  }
}

Жоден інший користувач не зможе читати дані інших користувачів, крім того, політика домену обмежує запити, що надходять з інших доменів. Більше про це можна прочитати в правилах безпеки Firebase

Експозиція ключа API створює вразливість, коли ввімкнено реєстрацію користувача / пароля. Існує відкрита кінцева точка API, яка бере ключ API і дозволяє будь-кому створити новий обліковий запис користувача. Потім вони можуть використовувати цей новий обліковий запис для входу у вашу захищену програму Firebase Auth або використовувати SDK для авторизації з користувачем / проходом та запуском запитів.

Я повідомив про це в Google, але вони кажуть, що це працює за призначенням.

Якщо ви не можете відключити облікові записи користувачів / паролів, слід зробити наступне: Створіть хмарну функцію для автоматичного відключення нових користувачів onCreate і створити нову запис БД для управління їх доступом.

Наприклад: MyUsers / {userId} / Доступ: 0

exports.addUser = functions.auth.user().onCreate(onAddUser);
exports.deleteUser = functions.auth.user().onDelete(onDeleteUser);

Оновіть свої правила, щоб дозволити читання лише користувачам з доступом> 1.

Випадково функція слухача не вимикає обліковий запис досить швидко, тоді правила читання не дозволять їм читати будь-які дані.

Прочитавши це, і після того, як я провів кілька досліджень щодо можливостей, я придумав дещо інший підхід до обмеження використання даних сторонніми користувачами:

Я також зберігаю своїх користувачів у своїй БД (і зберігаю там дані профілю). Тому я просто встановив правила db таким чином:

".read": "auth != null && root.child('/userdata/'+auth.uid+'/userRole').exists()",
".write": "auth != null && root.child('/userdata/'+auth.uid+'/userRole').exists()"

Таким чином, лише попередній збережений користувач може додавати нових користувачів у БД, тому жоден спосіб без облікового запису не може робити операції над БД. також додавання нових користувачів можливе лише в тому випадку, якщо користувач має спеціальну роль і редагує лише адміністратор або сам користувач (щось подібне):

"userdata": {
  "$userId": {
    ".write": "$userId === auth.uid || root.child('/userdata/'+auth.uid+'/userRole').val() === 'superadmin'",
   ...

Не слід викривати цю інформацію. публічно, спеціально ключі api. Це може призвести до витоку конфіденційності.

Перш ніж оприлюднити веб-сайт, його слід приховати. Зробити це можна двома або більше способами

1. Складне кодування / приховування
2. Просто поставте коди SDK firebase внизу вашого веб-сайту чи програми, таким чином, firebase автоматично все працює. вам не потрібно класти ключі API ніде