依存ライブラリの安全確認

依存ライブラリとは、自分のプログラムが借りて使っている、他の人が作った部品のことです。部品に既知の弱点があれば、自分のコードが正しくても、プログラムは攻撃されます。

大学のレポート提出アプリを考えます。使っているPDFの部品が1つ古いだけで、提出された1枚のファイルから、サーバーが乗っ取られることがあります。

プログラムは、自分が選んだ部品と、その部品が使う部品でできています。自分が選んだ部品が 直接の依存、その奥の部品が 推移的依存（transitive dependency）です。

自分の一覧に書いていない部品も、プログラムの中で動いています。奥の部品の弱点も、自分の弱点です。

バージョンは「主.副.修正」の3つの数で書きます。1.4.2 は、主が1、副が4、修正が2です。弱点が見つかると、直したバージョンが公開されます。

自分のバージョンが、直したバージョンより古いかを調べます。比べるときは、文字ではなく、数として比べます。

# 文字として比べると、"4" が "1" より大きいので、順番が逆になります。
print("1.4.2" < "1.10.0")

def parse(version):
    parts = []
    for piece in version.split("."):
        parts.append(int(piece))
    return parts

# 数のリストにすると、正しく比べられます。
print(parse("1.4.2") < parse("1.10.0"))
print(parse("2.3.1") < parse("2.3.5"))

ロックファイルは、使うバージョンを1つずつ書き止めます。誰がいつ作っても、同じ版が入ります。版を書かない部品は、ある日、知らない版に変わります。

固定したら終わりではありません。弱点の知らせを見て、決まった頃に更新します。

部品のほかに、もう1つの落とし穴があります。コードや設定の中に、パスワードや鍵を書いてしまうことです。

一度でも共有したコードは、消しても履歴に残ります。秘密は、コードの外の、鍵を管理する仕組みや環境変数に置きます。

ラボを起動して、次の2つを実行しましょう。どちらも見るだけです。1つ目は、3行の設定の文字から、key を含む行を探します。

2つ目は、ラボのアプリが動いているかを、決まった住所に問い合わせます。アプリの中の秘密を探すのは、ラボの課題です。

printf 'host = db\napi_key = "abc123"\ndebug = true\n' | grep -n key

curl -s -o /dev/null -w "%{http_code}\n" http://wrongsecrets:8080/actuator/health

1つ目は、行番号 2 のあとに、api_key = "abc123" の行を表示します。ファイルの中の文字を機械で探すと、秘密が一瞬で見つかります。

攻撃する人も、同じ道具を使います。2つ目は 200 を表示します。アプリが正常に動いている印です。