doc-fr/reference/mongodb/security.xml

<?xml version="1.0" encoding="utf-8"?>
<!-- EN-Revision: 4e0bf229045ff87d5f84469280bf0a6b195bfb8b Maintainer: Fan2Shrek Status: ready -->
<!-- Reviewed: yes -->
<book xml:id="mongodb.security" xmlns="http://docbook.org/ns/docbook" xmlns:xlink="http://www.w3.org/1999/xlink">
 <title>Sécurité</title>

 <article xml:id="mongodb.security.request_injection">
  <title>Attaques par injection de requêtes</title>
  <para>
   Si vous passez des paramètres <literal>$_GET</literal> (ou <literal>$_POST</literal>)
   à vos requêtes, assurez-vous de les convertir en chaînes de caractères avant.
   Les utilisateurs peuvent insérer des tableaux associatifs dans les requêtes
   GET et POST, qui pourraient alors devenir des requêtes $ indésirables.
  </para>

  <para>
   Un exemple assez anodin : supposez que vous cherchez les informations d'un
   utilisateur avec la requête <emphasis>http://www.example.com?username=bob</emphasis>.
   Votre application crée la requête
   <literal>$q = new \MongoDB\Driver\Query( [ 'username' => $_GET['username'] ])</literal>.
  </para>

  <para>
   Cela fonctionne bien, mais quelqu'un pourrait subvertir cela en passant
   <emphasis>http://www.example.com?username[$ne]=foo</emphasis>, que PHP
   transformera magiquement en un tableau associatif, transformant votre requête en
   <literal>$q = new \MongoDB\Driver\Query( [ 'username' => [ '$ne' => 'foo' ] ] )</literal>,
   qui renverra tous les utilisateurs dont le nom n'est pas "foo" (tous vos utilisateurs, probablement).
  </para>

  <para>
   C'est une attaque assez facile à contrer : assurez-vous que les paramètres
   <literal>$_GET</literal> et <literal>$_POST</literal> sont du type attendu
   avant de les envoyer à la base de données. PHP dispose de la fonction
   <function>filter_var</function> pour vous aider.
  </para>

  <para>
   Notez que ce type d'attaque peut être utilisé avec n'importe quelle interaction
   avec la base de données qui localise un document, y compris les mises à jour,
   les upserts, les suppressions et les commandes findAndModify.
  </para>

  <para>
   Voir <link xlink:href="&url.mongodb.dochub.security;">la documentation principale</link>
   pour plus d'informations sur les problèmes de type injection SQL avec MongoDB.
  </para>
 </article>

 <article xml:id="mongodb.security.script_injection">
  <title>Attaque par injection de scripts</title>
  <para>
   Si vous utilisez JavaScript, assurez-vous que toutes les variables qui
   traversent la frontière PHP-JavaScript sont passées dans le champ
   <literal>scope</literal> de <classname>MongoDB\BSON\Javascript</classname>,
   et non interpolées dans la chaîne JavaScript. Cela peut se produire lorsque
   vous utilisez des clauses <literal>$where</literal> dans les requêtes, les
   commandes mapReduce et group, et à tout autre moment où vous pouvez passer
   du JavaScript à la base de données.
  </para>
  <para>
   Par exemple, supposons que nous avons un JavaScript pour saluer un utilisateur
   dans les logs de la base de données. Nous pourrions faire :
  </para>
  <programlisting role="php">
<![CDATA[
<?php
$m = new MongoDB\Driver\Manager;

// Ne faites pas ca !!!
$username = $_GET['field']; 

$cmd = new \MongoDB\Driver\Command( [
    'eval' => "print('Hello, $username!');"
] );

$r = $m->executeCommand( 'dramio', $cmd );
?>
]]>
  </programlisting>
  <para>
   Cependant, que se passe-t-il si un utilisateur malveillant passe du JavaScript ?
  </para>
  <programlisting role="php">
<![CDATA[
<?php
$m = new MongoDB\Driver\Manager;

// Ne faites pas ca !!!
$username = $_GET['field']; 
// $username equivaut à "'); db.users.drop(); print('"

$cmd = new \MongoDB\Driver\Command( [
    'eval' => "print('Hello, $username!');"
] );

$r = $m->executeCommand( 'dramio', $cmd );
?>
]]>
  </programlisting>
  <para>
   Maintenant MongoDB exécute la chaîne JavaScript
   <literal>"print('Hello, '); db.users.drop(); print('!');"</literal>.
   Cette attaque est facile à éviter : utilisez <literal>args</literal> pour passer
   des variables de PHP à JavaScript :
  </para>
  <programlisting role="php">
<![CDATA[
<?php
$m = new MongoDB\Driver\Manager;

$_GET['field'] = 'derick';
$args = [ $_GET['field'] ];

$cmd = new \MongoDB\Driver\Command( [
    'eval' => "function greet(username) { print('Hello, ' + username + '!'); }",
    'args' => $args,
] );

$r = $m->executeCommand( 'dramio', $cmd );
?>
]]>
  </programlisting>
  <para>
   Cela ajoute un argument à la portée JavaScript, qui est utilisé comme argument
   pour la fonction <literal>greet</literal>. Maintenant si
   quelqu'un essaie d'envoyer du code malveillant, MongoDB imprimera inoffensivement
   <literal>Hello, '); db.dropDatabase(); print('!</literal>.
  </para>

  <para>
   Utiliser des arguments aide à empêcher l'exécution d'entrées malveillantes par
   la base de données. Cependant, vous devez vous assurer que votre code ne
   retourne pas et n'exécute pas l'entrée de toute façon ! Il est préférable
   d'éviter d'exécuter <emphasis>quelconque</emphasis> JavaScript sur le serveur
   en premier lieu.
  </para>

  <para>
   Nous vous recommandons de rester à l'écart de la clause <link
   xlink:href="&url.mongodb.docs;reference/operator/query/where/#considerations">$where</link>
   dans les requêtes, car elle impacte significativement les performances. Dans
   la mesure du possible, utilisez soit des opérateurs de requête normaux, soit
   le <link xlink:href="&url.mongodb.docs;core/aggregation-pipeline">Framework
   d'agrégation</link>.
  </para>

  <para>
   Une alternative à <link
   xlink:href="&url.mongodb.dochub.mapreduce;">MapReduce</link>, qui utilise
   JavaScript, est le <link
   xlink:href="&url.mongodb.docs;core/aggregation-pipeline">Framework
   d'agrégation</link>. Contrairement à Map/Reduce, il utilise un langage
   idiomatique pour construire des requêtes, sans avoir à écrire et utiliser
   l'approche JavaScript plus lente que Map/Reduce nécessite.
  </para>

  <para>
   La <link
    xlink:href="&url.mongodb.docs;reference/command/eval/">commande eval</link>
    a été dépréciée depuis MongoDB 3.0, et devrait également être évitée.
  </para>
 </article>
</book>

<!-- Keep this comment at the end of the file
Local variables:
mode: sgml
sgml-omittag:t
sgml-shorttag:t
sgml-minimize-attributes:nil
sgml-always-quote-attributes:t
sgml-indent-step:1
sgml-indent-data:t
indent-tabs-mode:nil
sgml-parent-document:nil
sgml-default-dtd-file:"~/.phpdoc/manual.ced"
sgml-exposed-tags:nil
sgml-local-catalogs:nil
sgml-local-ecat-files:nil
End:
vim600: syn=xml fen fdm=syntax fdl=2 si
vim: et tw=78 syn=sgml
vi: ts=1 sw=1
-->