Supabase Security

Zacznij od zera i stań się ekspertem od hakowania AWS dzięki htARTE (HackTricks AWS Red Team Expert)!

Inne sposoby wsparcia HackTricks:

Jeśli chcesz zobaczyć swoją firmę reklamowaną w HackTricks lub pobrać HackTricks w formacie PDF, sprawdź PLANY SUBSKRYPCYJNE!
Zdobądź oficjalne gadżety PEASS & HackTricks
Odkryj Rodzinę PEASS, naszą kolekcję ekskluzywnych NFT
Dołącz do 💬 grupy Discord lub grupy telegramowej lub śledź nas na Twitterze 🐦 @hacktricks_live.
Podziel się swoimi sztuczkami hakerskimi, przesyłając PR-y do HackTricks i HackTricks Cloud na GitHubie.

Podstawowe informacje

Zgodnie z ich stroną główną: Supabase to otwarta alternatywa dla Firebase. Rozpocznij swój projekt z bazą danych Postgres, uwierzytelnianiem, natywnymi interfejsami API, funkcjami Edge, subskrypcjami w czasie rzeczywistym, przechowywaniem i osadzaniem wektorowym.

Subdomena

W zasadzie po utworzeniu projektu użytkownik otrzyma subdomenę supabase.co, np.: jnanozjdybtpqgcwhdiz.supabase.co

Konfiguracja bazy danych

Te dane można uzyskać z linku w postaci https://supabase.com/dashboard/project/<project-id>/settings/database

Ta baza danych zostanie wdrożona w pewnym regionie AWS, a aby się do niej połączyć, można to zrobić łącząc się z: postgres://postgres.jnanozjdybtpqgcwhdiz:[TWOJE-HASŁO]@aws-0-us-west-1.pooler.supabase.com:5432/postgres (to zostało utworzone w us-west-1). Hasło to hasło, które użytkownik wcześniej wprowadził.

Dlatego, ponieważ subdomena jest znana i jest używana jako nazwa użytkownika, a regiony AWS są ograniczone, możliwe byłoby próbowanie siłowego ataku na hasło.

Ta sekcja zawiera również opcje:

Zresetuj hasło do bazy danych
Skonfiguruj grupowanie połączeń
Skonfiguruj SSL: Odrzuć połączenia w tekście jawnym (domyślnie są one włączone)
Skonfiguruj rozmiar dysku
Zastosuj ograniczenia sieciowe i blokady

Konfiguracja API

Te dane można uzyskać z linku w postaci https://supabase.com/dashboard/project/<project-id>/settings/api

URL dostępu do API Supabase w twoim projekcie będzie wyglądać tak: https://jnanozjdybtpqgcwhdiz.supabase.co.

Klucze API anon

Wygeneruje również klucz API anon (role: "anon"), np.: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJzdXBhYmFzZSIsInJlZiI6ImpuYW5vemRyb2J0cHFnY3doZGl6Iiwicm9sZSI6ImFub24iLCJpYXQiOjE3MTQ5OTI3MTksImV4cCI6MjAzMDU2ODcxOX0.sRN0iMGM5J741pXav7UxeChyqBE9_Z-T0tLA9Zehvqk, który będzie musiał być użyty przez aplikację w celu skontaktowania się z kluczem API, który został ujawniony w naszym przykładzie w

Możliwe jest znalezienie REST API do kontaktowania się z tym API w dokumentacji, ale najbardziej interesujące punkty końcowe to:

Rejestracja (/auth/v1/signup)

``` POST /auth/v1/signup HTTP/2 Host: id.io.net Content-Length: 90 X-Client-Info: supabase-js-web/2.39.2 Sec-Ch-Ua: "Not-A.Brand";v="99", "Chromium";v="124" Sec-Ch-Ua-Mobile: ?0 Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJzdXBhYmFzZSIsInJlZiI6ImpuYW5vemRyb2J0cHFnY3doZGl6Iiwicm9sZSI6ImFub24iLCJpYXQiOjE3MTQ5OTI3MTksImV4cCI6MjAzMDU2ODcxOX0.sRN0iMGM5J741pXav7UxeChyqBE9_Z-T0tLA9Zehvqk User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/124.0.6367.60 Safari/537.36 Content-Type: application/json;charset=UTF-8 Apikey: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJzdXBhYmFzZSIsInJlZiI6ImpuYW5vemRyb2J0cHFnY3doZGl6Iiwicm9sZSI6ImFub24iLCJpYXQiOjE3MTQ5OTI3MTksImV4cCI6MjAzMDU2ODcxOX0.sRN0iMGM5J741pXav7UxeChyqBE9_Z-T0tLA9Zehvqk Sec-Ch-Ua-Platform: "macOS" Accept: */* Origin: https://cloud.io.net Sec-Fetch-Site: same-site Sec-Fetch-Mode: cors Sec-Fetch-Dest: empty Referer: https://cloud.io.net/ Accept-Encoding: gzip, deflate, br Accept-Language: en-GB,en-US;q=0.9,en;q=0.8 Priority: u=1, i

{"email":"test@exmaple.com","password":"SomeCOmplexPwd239."}

</details>

<details>

<summary>Logowanie (/auth/v1/token?grant_type=password)</summary>

POST /auth/v1/token?grant_type=password HTTP/2 Host: hypzbtgspjkludjcnjxl.supabase.co Content-Length: 80 X-Client-Info: supabase-js-web/2.39.2 Sec-Ch-Ua: "Not-A.Brand";v="99", "Chromium";v="124" Sec-Ch-Ua-Mobile: ?0 Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJzdXBhYmFzZSIsInJlZiI6ImpuYW5vemRyb2J0cHFnY3doZGl6Iiwicm9sZSI6ImFub24iLCJpYXQiOjE3MTQ5OTI3MTksImV4cCI6MjAzMDU2ODcxOX0.sRN0iMGM5J741pXav7UxeChyqBE9_Z-T0tLA9Zehvqk User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/124.0.6367.60 Safari/537.36 Content-Type: application/json;charset=UTF-8 Apikey: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJzdXBhYmFzZSIsInJlZiI6ImpuYW5vemRyb2J0cHFnY3doZGl6Iiwicm9sZSI6ImFub24iLCJpYXQiOjE3MTQ5OTI3MTksImV4cCI6MjAzMDU2ODcxOX0.sRN0iMGM5J741pXav7UxeChyqBE9_Z-T0tLA9Zehvqk Sec-Ch-Ua-Platform: "macOS" Accept: / Origin: https://cloud.io.net Sec-Fetch-Site: same-site Sec-Fetch-Mode: cors Sec-Fetch-Dest: empty Referer: https://cloud.io.net/ Accept-Encoding: gzip, deflate, br Accept-Language: en-GB,en-US;q=0.9,en;q=0.8 Priority: u=1, i

{"email":"test@exmaple.com","password":"SomeCOmplexPwd239."}

</details>

Więc, kiedy odkryjesz klienta korzystającego z supabase z poddomeną, którą otrzymali (możliwe, że poddomena firmy ma CNAME nad ich poddomeną supabase), możesz spróbować **utworzyć nowe konto na platformie, korzystając z API supabase**.

### tajne / klucze api roli usługi

Tajny klucz API zostanie również wygenerowany z **`role: "service_role"`**. Ten klucz API powinien być tajny, ponieważ będzie mógł ominąć **Row Level Security**.

Klucz API wygląda tak: `eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJzdXBhYmFzZSIsInJlZiI6ImpuYW5vemRyb2J0cHFnY3doZGl6Iiwicm9sZSI6InNlcnZpY2Vfcm9sZSIsImlhdCI6MTcxNDk5MjcxOSwiZXhwIjoyMDMwNTY4NzE5fQ.0a8fHGp3N_GiPq0y0dwfs06ywd-zhTwsm486Tha7354`

### Tajny JWT

**Tajny JWT** również zostanie wygenerowany, aby aplikacja mogła **tworzyć i podpisywać niestandardowe tokeny JWT**.

## Autentykacja

### Rejestracje

<div data-gb-custom-block data-tag="hint" data-style='success'>

Domyślnie **supabase pozwoli nowym użytkownikom tworzyć konta** w twoim projekcie, korzystając z wcześniej wspomnianych punktów końcowych API.

</div>

Jednak te nowe konta, domyślnie, **będą musiały zweryfikować swój adres e-mail**, aby móc zalogować się na konto. Możliwe jest włączenie opcji **"Zezwalaj na anonimowe logowania"**, aby umożliwić ludziom logowanie bez weryfikacji adresu e-mail. Może to dać dostęp do **nieoczekiwanych danych** (uzyskają role `public` i `authenticated`).\
To bardzo zły pomysł, ponieważ supabase pobiera opłaty za aktywnego użytkownika, więc ludzie mogą tworzyć konta, logować się, a supabase będzie pobierał opłaty za te działania:

<figure><img src="../.gitbook/assets/image (1).png" alt=""><figcaption></figcaption></figure>

### Hasła i sesje

Można określić minimalną długość hasła (domyślnie), wymagania (brak domyślnie) i zabronić używania wyciekłych haseł.\
Zaleca się **poprawienie wymagań, ponieważ domyślne są słabe**.

* Sesje użytkownika: Można skonfigurować, jak działają sesje użytkownika (czas wygaśnięcia, 1 sesja na użytkownika...)
* Ochrona przed botami i nadużyciami: Można włączyć Captcha.

### Ustawienia SMTP

Można ustawić SMTP do wysyłania e-maili.

### Zaawansowane ustawienia

* Ustaw czas wygaśnięcia tokenów dostępu (domyślnie 3600)
* Ustaw wykrywanie i unieważnianie potencjalnie skompromitowanych tokenów odświeżania oraz czas oczekiwania
* MFA: Wskaż, ile czynników MFA może być zapisanych jednocześnie na użytkownika (domyślnie 10)
* Maksymalne bezpośrednie połączenia z bazą danych: Maksymalna liczba połączeń używanych do uwierzytelniania (domyślnie 10)
* Maksymalny czas trwania żądania: Maksymalny czas, jaki jest dozwolony dla żądania uwierzytelniania (domyślnie 10s)

## Przechowywanie

<div data-gb-custom-block data-tag="hint" data-style='success'>

Supabase pozwala **przechowywać pliki** i udostępniać je za pomocą adresu URL (korzysta z kubełków S3).

</div>

* Ustaw limit rozmiaru pliku do przesyłania (domyślnie 50 MB)
* Połączenie z S3 jest udostępnione za pomocą adresu URL: `https://jnanozjdybtpqgcwhdiz.supabase.co/storage/v1/s3`
* Możliwe jest **żądanie klucza dostępu do S3**, który składa się z `ID klucza dostępu` (np. `a37d96544d82ba90057e0e06131d0a7b`) i `tajnego klucza dostępu` (np. `58420818223133077c2cec6712a4f909aec93b4daeedae205aa8e30d5a860628`)

## Funkcje Edge

Możliwe jest również **przechowywanie tajnych informacji** w supabase, które będą **dostępne dla funkcji Edge** (można je tworzyć i usuwać z sieci, ale nie można bezpośrednio uzyskać do ich wartości).

PreviousOkta Hardening NextAnsible Tower / AWX / Automation controller Security

Last updated 13 days ago