Florian Wilde
75252b32b4
Zehn Befunde, alle behoben. Die wichtigsten: scrypt lief mit N=2^15; das OWASP Password Storage Cheat Sheet nennt 2^17. Jetzt 2^17, alte Hashes bleiben gueltig und werden beim naechsten Anmelden still erneuert — das ist der einzige Moment, in dem das Klartextpasswort vorliegt. Passwoerter hatten keine Obergrenze. Ein Passwort von mehreren Megabyte haette scrypt beschaeftigt, und zwar an einem Endpunkt ohne Anmeldung. Jetzt 128 Zeichen, geprueft vor dem Hashen. Als CSRF-Schutz gab es nur SameSite=Lax. Das Merkblatt sagt ausdruecklich, dass das allein nicht genuegt — besonders beim Upload, der multipart entgegennimmt und damit von einem fremden Formular erreichbar waere. Jetzt wird bei jedem schreibenden Zugriff der Origin gegen den Host der Anfrage geprueft (nicht gegen BASE_URL, die Anwendung laeuft unter mehreren Domains). Es gab keinen einzigen Schutzheader — die Verwaltung liess sich einbetten und per Clickjacking fernsteuern. Jetzt frame-ancestors none, X-Frame-Options, nosniff, Referrer-Policy und Permissions-Policy; X-Powered-By ist weg. Sitzungen hatten keine absolute Obergrenze: eine gestohlene Sitzung haette durch regelmaessige Nutzung unbegrenzt weitergelebt. Jetzt SESSION_MAX_DAYS neben SESSION_IDLE_DAYS, beide einstellbar. Dazu: Secure auch hinter einem TLS-Proxy, weniger Auskunft ueber fremde Konten bei der Anmeldung, eine Bremse je Absender gegen breites Durchprobieren, Ersteinrichtung ohne Wettlauf, und abgelaufene Sitzungen werden aufgeraeumt. Die Datei heisst proxy.ts statt middleware.ts — Next 16 hat die Konvention umbenannt. /api/uploads bleibt davon ausgenommen: Der Proxy puffert Anfragekoerper nur bis 10 MB, eine Datei an der Groessengrenze kaeme sonst unvollstaendig an. Die Herkunftspruefung macht die Route dort selbst. Befund, Begruendungen und was bewusst offen bleibt: docs/sicherheit.md
51 lines
1.8 KiB
TypeScript
51 lines
1.8 KiB
TypeScript
import type { NextRequest } from "next/server";
|
|
|
|
import { prisma } from "@/lib/db";
|
|
|
|
export const dynamic = "force-dynamic";
|
|
|
|
type Context = { params: Promise<{ id: string }> };
|
|
|
|
/**
|
|
* Liefert eine hochgeladene Datei aus.
|
|
*
|
|
* Bewusst ohne Anmeldung: Die Landingpages sind öffentlich, und wer einen
|
|
* Code scannt, soll das hinterlegte PDF sehen können. Der Schutz liegt in der
|
|
* nicht erratbaren Id — dieselbe Überlegung wie beim Slug einer Kurz-URL.
|
|
*/
|
|
export async function GET(
|
|
request: NextRequest,
|
|
context: Context,
|
|
): Promise<Response> {
|
|
const { id } = await context.params;
|
|
|
|
const upload = await prisma.upload.findUnique({ where: { id } });
|
|
if (!upload) {
|
|
return new Response("Datei nicht gefunden", {
|
|
status: 404,
|
|
headers: { "Content-Type": "text/plain; charset=utf-8" },
|
|
});
|
|
}
|
|
|
|
// `?download` erzwingt das Speichern statt der Anzeige.
|
|
const alsDownload = request.nextUrl.searchParams.has("download");
|
|
|
|
return new Response(new Uint8Array(upload.data), {
|
|
headers: {
|
|
"Content-Type": upload.mimeType,
|
|
"Content-Length": String(upload.size),
|
|
// Der Typ steht fest — der Browser soll nicht raten und daraus
|
|
// womöglich etwas Ausführbares machen.
|
|
"X-Content-Type-Options": "nosniff",
|
|
// Ein PDF darf Skripte enthalten. Ausgeliefert von derselben Adresse
|
|
// wie die Anwendung könnte es damit auf angemeldete Sitzungen
|
|
// zugreifen; die Sandbox nimmt ihm diese Möglichkeit.
|
|
"Content-Security-Policy": "sandbox; default-src 'none'; frame-ancestors 'none'",
|
|
"X-Frame-Options": "DENY",
|
|
"Content-Disposition": `${alsDownload ? "attachment" : "inline"}; filename*=UTF-8''${encodeURIComponent(upload.filename)}`,
|
|
// Der Inhalt einer Id ändert sich nie — die Id wechselt mit der Datei.
|
|
"Cache-Control": "public, max-age=31536000, immutable",
|
|
},
|
|
});
|
|
}
|