Насколько Spring Security хорошо защищает твой бакэнд?

Question

[Вадим]

работаем над небольшим приложением. Думаю, насколько хорошо spring security защищает твое бакэнд в частности базу с логинами и паролями... в частности не стоит ли аутентификацию использовать от 3-х компаний типа Okta?

Comments

[Dmitry Roo]

Кстати, насчет окта: https://www.bloomberg.com/news/articles/2023-11-29...

Answer 1

[My1Name]

насколько хорошо spring security защищает

В RESTful приложениях, по идее никаких проблем с безопасностью быть не может. Потому что любой запрос связан с сущностью, которая просто не будет построена если какая-то часть запроса не соответствует типу данных хотя бы одному из полей объекта (включая фильтры Security). См. Entity-Control-Boundary (Robustness diagram).

Если у вас в системе есть контроллеры (например ajax), которые принимают запросы независимо от настроек фильтров Spring Security и независимо от сущности, то вопрос безопасности лежит на плечах разработчика.

Spring-security - обеспечивает безопасный канал обмена данными. В каждом запросе клиент/сервер передаётся "пакетный набор" для идентификации пользователя. Например: IP адрес, hash-code сессии, крипто-пароль и др. Это обеспечивает безопасный канал связи. А обработка запросов (в том числе неправильных) - это задача разработчика.

Comments

[My1Name]

Простыми словами: Если речь идёт о банковском приложении, то такие программы даже не имеют функций "получить список пользователей" по какому-то параметру. В отличие от социальных сетей, там нет друзей или связных контактов... Даже банковские сотрудники навряд ли имеют возможность получать списки пользователей.

Такие функции могут существовать локально (без доступа к интернету). То есть, нужен прямой доступ к БД. И чтоб получить список с логинами и паролями, вероятнее всего - придётся физически украсть сервер :D

На уровне доступа к одному аккаунту, существует механизм межсайтового общения CORS (в теории возможно копировать запрос пользователя, выдавая себя за него) который в свою очередь блокируется или настраивается в рамках Spring Security. И если всё правильно настроено, получить несанкционированный доступ даже к одному аккаунту - нельзя.

В Spring Security другая проблема: защитить приложение, отключая параметры безопасности. Ведь не все приложения ориентированы на банкинг. А фильтры спринга, блокируют разного рода web функции. Например - воспроизведение видео-фреймов с YouTube.

[Вадим]

супер развернутый ответ, спасибо

Answer 2

[Андрей Мывреник]

Spring Security это фреймворк. Степень безопасности сильно зависит от программистов, которые им пользуются. Если всё в приложении делается правильно и тестируется, то в защите сомнений быть не может.

Okta и подобное это уже готовые серверы авторизации. Если у вас есть бюджет на подобные дорогие удовольствия, то стоит. Но в большинстве случаев, эти расходы необоснованны. Особенно для малых и средних компаний.

Comments

[Вадим]

спасибо

Answer 3

[Dmitry Roo]

Spring security - фреймворк аутентификации конкретного приложения.
Okta - поставляет решения для аутентификации набора приложений, при этом аутентификацией какого-то конкретного приложения оно не занимается. Это типа как "войти с помощью google".
Сранивать spring security с okta - нет никакого смысла.

Comments

[Вадим]

вопрос в том хранить ли свои логины и пароли в Окте или можно и в своей базе, если используется Spring Security

[Dmitry Roo]

Вадим, для одного сервиса окта точно не нужна.