재설정 토큰은 길게, 해시로, 한 번만

목표

비밀번호 재설정 토큰의 생성·저장·만료·한 번 쓰기와 같은 응답을 요구사항 시험으로 적고, secrets 와 SHA-256 으로 고칩니다.

왜 중요한가

재설정 토큰을 가진 사람은 비밀번호를 몰라도 계정을 가져갑니다. 짧거나 예측되는 토큰, 그대로 저장된 토큰, 만료 없는 토큰, 다시 쓸 수 있는 토큰은 모두 로그인보다 약한 문을 만듭니다. 시계를 바꿔 끼워 시간 규칙까지 시험으로 고정합니다.

단계

/opt/app/appsec/sk-reset-lab/ 의 파일을 /root/appsec/sk-reset-lab/ 로 복사하고 python3 -m pytest -q test_functional.py 로 기존 기능 시험이 통과하는지 봅니다. REQUIREMENTS.md 를 끝까지 읽습니다.
/root/appsec/sk-reset-lab/test_security.py 에 요구 A(토큰은 secrets.token_urlsafe(32), 저장은 SHA-256 해시만, 가입 여부와 상관없이 같은 202)를 확인하는 시험을 test_a_ 로 시작하는 이름으로 씁니다. 지금 코드에서 실패하고, 올바르게 고친 코드에서 통과해야 합니다.
service.py 를 고쳐 요구 A 를 지킵니다. 채점기는 숨은 요구 A 시험과 여러분의 test_a_ 시험을 함께 돌립니다.
요구 B(토큰은 15분 안에 한 번만, 새 토큰이 나가면 옛 토큰은 무효)를 확인하는 시험을 test_b_ 로 시작하는 이름으로 더합니다. 판정은 2단계와 같습니다.
service.py 를 고쳐 요구 B 도 지킵니다.
test_functional.py 가 그대로 통과하는지 봅니다. 채점기는 숨은 기능 시험도 함께 돌립니다.
REQUIREMENTS.md 의 '감사 로그' 표대로 audit(...) 을 부릅니다(요청은 reset.requested, 성공은 reset.completed, 거절은 reset.failed, 토큰은 남기지 않음).
채점기가 그럴듯한 오답을 하나씩 끼워 여러분의 test_security.py 를 돌립니다. 오답마다 시험이 하나 이상 실패해야 합니다.

참고

시계는 now = [1000.0] 를 두고 clock=lambda: now[0] 로 넘긴 뒤 now[0] += 901 로 보냅니다.
set_password 에 바뀐 내용을 목록에 모으는 함수를 넘기면 비밀번호가 바뀌었는지 바로 볼 수 있습니다.
흔한 실수: 여섯 자리 숫자를 secrets 로 만드는 것, 토큰을 그대로 열쇠로 쓰는 것, 쓴 토큰을 표시하지 않는 것.
시험은 cd /root/appsec/sk-reset-lab && python3 -m pytest -q test_security.py 로 돌립니다. -k test_a_ 를 붙이면 요구 A 시험만 돕니다.
정답 보기의 python3 /opt/app/appsec/apply_fix.py service.py 는 조각에 든 함수만 이름으로 찾아 바꿉니다. 직접 고친 다른 함수는 그대로 남습니다.
실습 파드에는 볼륨이 없어 세션이 끝나면 /root/appsec 가 사라집니다. 남기고 싶은 시험은 세션 안에서 옮겨 두세요.

재료를 복사하고 기능 시험을 돌린다

/opt/app/appsec/sk-reset-lab/ 의 파일을 모두 /root/appsec/sk-reset-lab/ 로 복사하고, 그 디렉터리에서 python3 -m pytest -q test_functional.py 로 기존 기능 시험이 통과하는 것을 본다. REQUIREMENTS.md 를 끝까지 읽는다.

cp 로 디렉터리의 파일을 통째로 옮깁니다. 고치기 전에 지금 무엇이 되는지부터 확인해 두면, 나중에 무엇을 깨뜨렸는지 가릴 수 있습니다.

요구 A 를 시험으로 쓴다

/root/appsec/sk-reset-lab/test_security.py 에 요구 A(토큰은 secrets.token_urlsafe(32), 저장은 SHA-256 해시만, 가입 여부와 상관없이 같은 202)를 확인하는 시험을 test_a_ 로 시작하는 이름으로 쓴다. 이 시험은 지금 코드에서 실패하고, 올바르게 고친 코드에서 통과해야 한다.

request_reset 이 돌려준 토큰의 길이와 글자 종류, svc.tokens 의 열쇠가 토큰의 SHA-256 인지, 토큰 글자가 표 어디에도 없는지 확인하세요. HTTP 로 가입한 이메일과 아닌 이메일을 보내 응답이 같은지도 봅니다.

요구 A 를 지키도록 고친다

/root/appsec/sk-reset-lab/service.py 를 고쳐 요구 A 를 지킨다. 채점기는 숨은 요구 A 시험과 여러분의 test_a_ 시험을 고친 코드에 돌린다.

secrets.token_urlsafe(32) 로 만들고, 표의 열쇠는 hashlib.sha256(token.encode()).hexdigest() 로 합니다. reset_password 도 같은 해시로 찾습니다. handle_reset_request 는 가입 여부와 상관없이 202 를 돌려주고 메일만 가입한 이메일에 보냅니다.

요구 B 를 시험으로 쓴다

/root/appsec/sk-reset-lab/test_security.py 에 요구 B(토큰은 15분 안에 한 번만, 새 토큰이 나가면 옛 토큰은 무효)를 확인하는 시험을 test_b_ 로 시작하는 이름으로 더한다. 02 단계처럼 지금 코드에서 실패하고 올바른 코드에서 통과해야 한다.

바꿔 끼운 시계로 15분 1초 뒤에 쓰기, 같은 토큰 두 번 쓰기, 새 토큰을 받은 뒤 옛 토큰 쓰기를 해 보세요. 셋 다 False 이고 비밀번호는 바뀌지 않아야 합니다.

요구 B 를 지키도록 고친다

/root/appsec/sk-reset-lab/service.py 를 고쳐 요구 B 도 지킨다. 채점기는 숨은 요구 B 시험과 여러분의 test_b_ 시험을 고친 코드에 돌린다.

reset_password 에서 만료(clock() >= expires)와 used 를 확인하고, 비밀번호를 바꾸기 전에 used 를 True 로 둡니다. request_reset 은 같은 이메일의 옛 항목을 지운 뒤 새 토큰을 넣습니다.

기존 기능이 그대로인지 본다

고친 service.py 로 python3 -m pytest -q test_functional.py 가 그대로 통과하는지 본다. 채점기는 재료의 원본 기능 시험에 숨은 기능 시험을 더해 돌린다.

보안 수정이 정상 사용자를 막으면 그 수정은 되돌려집니다. 실패한 기능 시험의 이름이 어떤 정상 동작을 막았는지 알려 줍니다. 막을 것만 막았는지 요구사항의 '그대로 된다' 문장과 견주어 보세요.

감사 로그를 남긴다

REQUIREMENTS.md 의 '감사 로그' 표대로 audit(...) 을 부른다(요청은 reset.requested, 성공은 reset.completed, 거절은 reset.failed, 토큰은 남기지 않음). 남기지 말라고 한 값은 어떤 항목에도 넣지 않는다.

토큰 해시의 앞 8글자를 token_id 로 씁니다. 거절 이유는 표에 없음(unknown), 이미 씀(used), 시간 지남(expired) 순으로 가립니다. 가입하지 않은 이메일은 known=False 만 남깁니다.

그럴듯한 오답을 시험이 붙잡는지 본다

채점기가 기준 코드에 그럴듯한 오답을 하나씩 끼워 /root/appsec/sk-reset-lab/test_security.py 를 돌린다. 오답마다 시험이 하나 이상 실패하도록 필요한 시험을 더한다.

채점 메시지가 어떤 오답이 빠져나갔는지 알려 줍니다. 한 경로만 고친 수정이면 다른 경로를, 비교 방법이 틀린 수정이면 그 비교를 확인하는 시험을 더하세요. 요구사항의 문장 하나하나가 시험 하나가 될 수 있습니다.