V1.12.2 Secure File Upload Architecture

Requirement:

Verify that user-uploaded files - if required to be displayed or downloaded from the application - are served by either octet stream downloads, or from an unrelated domain, such as a cloud file storage bucket. Implement a suitable Content Security Policy (CSP) to reduce the risk from XSS vectors or other attacks from the uploaded file.

Explanation:

Требование определяет архитектуру безопасной загрузки файлов, уделяя особое внимание безопасной работе с файлами, загружаемыми пользователями. Это требование подчеркивает важность снижения рисков, связанных с потенциальными атаками, исходящими от вредоносных файлов, загружаемых пользователями.

• User-Uploaded Files: Это любые файлы, которые пользователи могут загружать в приложение, например, изображения, документы, видео и т.д.
• Octet Stream Downloads: Передача файлов в виде "загрузки октетного потока" означает отправку файлов с типом содержимого "application/octet-stream", таким образом, что браузеры вынуждены рассматривать их как бинарные данные, а не рендерить их в самом браузере.
• Unrelated Domain (Cloud Storage): Отправка файлов из другого домена, например из облачного хранилища, позволяет изолировать загружаемые файлы от основного домена приложения.
• Content Security Policy (CSP): CSP - это функция безопасности, позволяющая контролировать, каким источникам контента разрешено выполнять или загружать веб-страницу.

Загружаемые пользователем файлы могут использоваться для осуществления различных атак, таких как Cross-Site Scripting (XSS), распространение вредоносного ПО и удаленное выполнение кода. Данное требование направлено на предотвращение таких атак путем обеспечения того, чтобы загружаемые файлы не выполнялись в пределах контекста приложения, а также чтобы они выполнялись из безопасных и изолированных источников.

Remediation:

Чтобы выполнить это требование и обеспечить безопасность архитектуры загрузки файлов в приложении, выполните следующие действия:

1 Octet Stream Downloads: Настройте приложение таким образом, чтобы загружаемые пользователем файлы передавались в виде октет-потока, а не отображались в браузере.

2 Unrelated Domain (Cloud Storage): Используйте облачные хранилища файлов (например, Amazon S3, Google Cloud Storage) для хранения и обработки загружаемых пользователем файлов. Используйте подписанные URL-адреса или средства контроля доступа, чтобы обеспечить доступ к файлам только авторизованным пользователям.

3 Content Security Policy (CSP): Внедрите CSP в header HTTP-response приложения. Настройте CSP так, чтобы запретить выполнение скриптов и обеспечить использование контента из безопасных источников.

4 Whitelisting MIME Types: Внесите в белый список определенные типы MIME, которые безопасны для отображения или загрузки в приложении. Отклоняйте любые загрузки, содержащие запрещенные или небезопасные типы MIME.

К примеру, в веб-приложении, когда пользователь загружает фотографию профиля, можно реализовать следующие меры для выполнения требований:

• Загружаемые файлы подвергаются проверке и очистке для предотвращения возможного вредоносного кода.
• Приложение передает загруженные изображения профиля в виде октетного потока, заставляя браузеры воспринимать их как бинарные файлы.
• Фотографии профиля загружаются с отдельного поддомена, например cdn.example.com, не связанного с основным доменом приложения. 
• В HTML-заголовке приложения реализована политика Content Security Policy (CSP). Она разрешает загрузку скриптов только из доверенных источников и ограничивает вставку скриптов и другого потенциально опасного содержимого.

Пример реализации безопасного фуникционала загрузки файлов

from flask import Flask, request, send_file, safe_join

import os

import hashlib

import secrets

from flask_talisman import Talisman

app = Flask(__name__)

Talisman(app)

UPLOAD_FOLDER = 'uploads'

ALLOWED_EXTENSIONS = {'txt', 'pdf', 'png', 'jpg', 'jpeg', 'gif'}

app.config['UPLOAD_FOLDER'] = UPLOAD_FOLDER

def allowed_file(filename):

return '.' in filename and filename.rsplit('.', 1)[1].lower() in ALLOWED_EXTENSIONS

@app.route('/upload', methods=['POST'])

def upload_file():

if 'file' not in request.files:

return "No file part"

file = request.files['file']

if file.filename == '':

return "No selected file"

if file and allowed_file(file.filename):

filename = secrets.token_hex(16) + "." + file.filename.rsplit('.', 1)[1].lower()

filepath = os.path.join(app.config['UPLOAD_FOLDER'], filename)

file.save(filepath)

return "File uploaded successfully"

else:

return "File type not allowed"

@app.route('/download/<filename>', methods=['GET'])

def download_file(filename):

filepath = safe_join(app.config['UPLOAD_FOLDER'], filename)

if os.path.exists(filepath):

return send_file(filepath, as_attachment

В данном примере:

• Для реализации политики Content Security Policy (CSP) используется расширение Flask-Talisman.
• Конфигурация UPLOAD_FOLDER задает каталог, в котором будут храниться загружаемые файлы.
• Функция allowed_file проверяет, имеет ли загружаемый файл разрешенное расширение.
• Путь /upload безопасно обрабатывает загрузку файлов. Файлы сохраняются с произвольными именами.
• Путь /download/filename позволяет пользователям безопасно загружать загруженные файлы в виде октетного потока.

Additional:

https://developer.mozilla.org/ru/docs/Web/HTTP/CSP)%20%D0%B8%20%D0%B0%D1%82%D0%B0%D0%BA%D0%B8%20%D0%B2%D0%BD%D0%B5%D0%B4%D1%80%D0%B5%D0%BD%D0%B8%D1%8F%20%D0%B4%D0%B0%D0%BD%D0%BD%D1%8B%D1%85).