VibeSense Security Audit

⚠️ Riesgo: La comparación con === tiene tiempo variable según el punto de fallo, permitiendo a un atacante adivinar tokens o hashes bit a bit mediante análisis de tiempo de respuesta.

Pasos de remediación:

1. Usar crypto.timingSafeEqual() para comparar tokens y hashes.
2. Convertir ambos strings a Buffer antes de comparar.
3. Nunca comparar tokens JWT o API keys con === o ==.
4. Para contraseñas, usar bcrypt.compare() que ya es timing-safe.

Ejemplo de código:

const crypto = require('crypto');
const expected = Buffer.from(process.env.API_TOKEN);
const received = Buffer.from(req.headers['x-api-key'] || '');
if (expected.length !== received.length || !crypto.timingSafeEqual(expected, received)) {
  return res.status(401).json({ error: 'Unauthorized' });
}

🎯 Vector de Pentest: Timing Attack, Token Brute Force

⚠️ Riesgo: Sin whitelist, el gateway expone automáticamente todas las acciones de todos los servicios registrados, incluyendo acciones internas o de administración.

Pasos de remediación:

1. Definir whitelist explícita con las rutas permitidas.
2. Usar aliases para mapear rutas HTTP a acciones específicas.
3. Marcar acciones internas con visibility: 'protected' o 'private'.
4. Revisar periódicamente qué acciones están expuestas en el gateway.
5. Implementar el hook authorize() para verificar permisos por ruta.

Ejemplo de código:

// Correcto
{
  path: '/api',
  whitelist: [
    'users.login',
    'users.register',
    'products.list'
  ],
  aliases: {
    'POST /login': 'users.login',
    'GET /products': 'products.list'
  }
}

🎯 Vector de Pentest: Unauthorized API Access, Internal Action Exposure

⚠️ Riesgo: Imprimir datos sin sanitizar permite ataques Cross-Site Scripting que pueden robar sesiones o ejecutar código malicioso.

Pasos de remediación:

1. Usar htmlspecialchars() con ENT_QUOTES y charset UTF-8.
2. Usar htmlentities() como alternativa más completa.
3. Implementar una Content Security Policy (CSP) en el servidor.
4. Considerar usar un template engine que escape automáticamente (Twig).
5. Nunca imprimir directamente datos de $_GET, $_POST, $_COOKIE.

Ejemplo de código:

echo htmlspecialchars($var, ENT_QUOTES, 'UTF-8');

🎯 Vector de Pentest: Reflected XSS, Stored XSS, Cookie Theft

⚠️ Riesgo: Asignar contenido sin sanitizar a innerHTML permite DOM-based XSS que ejecuta en el contexto del usuario, pudiendo robar cookies, tokens o realizar acciones en su nombre.

Pasos de remediación:

1. Usar textContent en lugar de innerHTML para texto plano.
2. Si se necesita HTML, sanitizar con DOMPurify antes de asignar.
3. Crear elementos DOM con createElement() y appendChild() en lugar de innerHTML.
4. Implementar una Content Security Policy (CSP) como defensa en profundidad.

Ejemplo de código:

// Correcto — texto plano
element.textContent = userInput;

// Correcto — HTML sanitizado
import DOMPurify from 'dompurify';
element.innerHTML = DOMPurify.sanitize(userInput);

// Incorrecto
element.innerHTML = userInput;

🎯 Vector de Pentest: DOM XSS, Cookie Theft, Session Hijacking

⚠️ Riesgo: Local File Inclusion permite leer archivos del servidor (/etc/passwd, logs) o ejecutar código. Remote File Inclusion permite cargar y ejecutar código desde un servidor remoto.

Pasos de remediación:

1. Usar un mapa de archivos permitidos (whitelist) en lugar de paths dinámicos.
2. Validar el valor contra una lista fija de opciones permitidas.
3. Nunca incluir rutas que vengan de $_GET, $_POST, o $_COOKIE.
4. Deshabilitar allow_url_include en php.ini.
5. Usar basename() o realpath() y verificar que el resultado esté dentro del directorio permitido.

Ejemplo de código:

$allowed = ['home' => 'home.php', 'about' => 'about.php'];
$page = $allowed[$_GET['page']] ?? 'home.php';
include 'pages/' . $page;

🎯 Vector de Pentest: Local File Inclusion (LFI), Remote File Inclusion (RFI)

⚠️ Riesgo: Tokens sin expiración permiten accesos indefinidos. Si un token es comprometido, permanece válido para siempre.

Pasos de remediación:

1. Agregar el claim 'exp' al payload del JWT.
2. Definir una expiración corta (3600 = 1 hora).
3. Validar la expiración explícitamente al verificar el token.
4. Usar el claim 'iat' (issued at) para rastrear la emisión.
5. Implementar revocación de tokens en base de datos o cache.

Ejemplo de código:

$payload = ['sub' => $userId, 'exp' => time() + 3600, 'iat' => time()];
$token = JWT::encode($payload, $secretKey, 'HS256');

🎯 Vector de Pentest: Token Replay, Session Persistence After Logout

⚠️ Riesgo: MD5 y SHA1 son algoritmos rotos para passwords. Pueden ser revertidos con rainbow tables o fuerza bruta en segundos.

Pasos de remediación:

1. Usar password_hash() con PASSWORD_BCRYPT o PASSWORD_ARGON2ID.
2. Usar password_verify() para comparación segura.
3. Migrar hashes existentes en el próximo login del usuario.
4. Usar un work factor adecuado (cost >= 12 para bcrypt).

Ejemplo de código:

$hash = password_hash($password, PASSWORD_BCRYPT, ['cost' => 12]);
$valid = password_verify($input, $hash);

🎯 Vector de Pentest: Password Cracking, Credential Stuffing, Rainbow Table Attack