Translated ['', 'src/pentesting-ci-cd/supabase-security.md'] to sr

src/pentesting-ci-cd/supabase-security.md

@@ -1,49 +1,49 @@
-# Supabase Security
+# Supabase sigurnost
 
 {{#include ../banners/hacktricks-training.md}}
 
 ## Osnovne informacije
 
-Prema njihovoj [**početnoj stranici**](https://supabase.com/): Supabase je open source alternativa Firebase-u. Započnite svoj projekat sa Postgres bazom podataka, autentifikacijom, instant API-ima, Edge funkcijama, Realtime pretplatama, skladištem i vektorskim ugradnjama.
+Prema njihovoj [**landing page**](https://supabase.com/): Supabase je open source alternativa Firebase-u. Start your project with a Postgres database, Authentication, instant APIs, Edge Functions, Realtime subscriptions, Storage, and Vector embeddings.
 
-### Poddomen
+### Subdomain
 
-U suštini, kada se projekat kreira, korisnik će dobiti supabase.co poddomen kao: **`jnanozjdybtpqgcwhdiz.supabase.co`**
+U osnovi, kada se projekat kreira, korisnik će dobiti supabase.co subdomen kao: **`jnanozjdybtpqgcwhdiz.supabase.co`**
 
 ## **Konfiguracija baze podataka**
 
 > [!TIP]
-> **Ovi podaci se mogu pristupiti putem linka kao `https://supabase.com/dashboard/project/<project-id>/settings/database`**
+> **Ovi podaci su dostupni putem linka poput `https://supabase.com/dashboard/project/<project-id>/settings/database`**
 
-Ova **baza podataka** će biti postavljena u nekoj AWS regiji, i da bi se povezali na nju, moguće je to učiniti povezivanjem na: `postgres://postgres.jnanozjdybtpqgcwhdiz:[YOUR-PASSWORD]@aws-0-us-west-1.pooler.supabase.com:5432/postgres` (ova je kreirana u us-west-1).\
-Lozinka je **lozinka koju je korisnik prethodno postavio**.
+Ova **database** će biti deploy-ovana u nekom AWS regionu, i da biste se povezali na nju bi bilo moguće povezati se na: `postgres://postgres.jnanozjdybtpqgcwhdiz:[YOUR-PASSWORD]@aws-0-us-west-1.pooler.supabase.com:5432/postgres` (this was crated in us-west-1).\
+Lozinka je **lozinka koju je korisnik ranije uneo**.
 
-Stoga, pošto je poddomen poznat i koristi se kao korisničko ime, a AWS regije su ograničene, može biti moguće pokušati **brute force napad na lozinku**.
+Dakle, pošto je subdomen poznat i koristi se kao username, a AWS regioni su ograničeni, možda bi bilo moguće pokušati **brute force the password**.
 
-Ovaj deo takođe sadrži opcije za:
+Ovaj odeljak takođe sadrži opcije za:
 
-- Resetovanje lozinke baze podataka
-- Konfiguraciju povezivanja
-- Konfiguraciju SSL: Odbijanje plain-text konekcija (po defaultu su omogućene)
-- Konfiguraciju veličine diska
-- Primenu mrežnih ograničenja i zabrana
+- Reset the database password
+- Configure connection pooling
+- Configure SSL: Reject plan-text connections (by default they are enabled)
+- Configure Disk size
+- Apply network restrictions and bans
 
 ## Konfiguracija API-ja
 
 > [!TIP]
-> **Ovi podaci se mogu pristupiti putem linka kao `https://supabase.com/dashboard/project/<project-id>/settings/api`**
+> **Ovi podaci su dostupni putem linka poput `https://supabase.com/dashboard/project/<project-id>/settings/api`**
 
-URL za pristup supabase API-ju u vašem projektu biće: `https://jnanozjdybtpqgcwhdiz.supabase.co`.
+URL za pristup supabase API-ju u vašem projektu biće poput: `https://jnanozjdybtpqgcwhdiz.supabase.co`.
 
-### anon api ključevi
+### anon api keys
 
-Takođe će generisati **anon API ključ** (`role: "anon"`), kao: `eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJzdXBhYmFzZSIsInJlZiI6ImpuYW5vemRyb2J0cHFnY3doZGl6Iiwicm9sZSI6ImFub24iLCJpYXQiOjE3MTQ5OTI3MTksImV4cCI6MjAzMDU2ODcxOX0.sRN0iMGM5J741pXav7UxeChyqBE9_Z-T0tLA9Zehvqk` koji će aplikacija morati da koristi kako bi kontaktirala API ključ izložen u našem primeru u
+Takođe će generisati jedan **anon API key** (`role: "anon"`), poput: `eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJzdXBhYmFzZSIsInJlZiI6ImpuYW5vemRyb2J0cHFnY3doZGl6Iiwicm9sZSI6ImFub24iLCJpYXQiOjE3MTQ5OTI3MTksImV4cCI6MjAzMDU2ODcxOX0.sRN0iMGM5J741pXav7UxeChyqBE9_Z-T0tLA9Zehvqk` koji će aplikacija morati da koristi da bi kontaktirala API izložen u našem primeru u
 
-Moguće je pronaći API REST za kontaktiranje ovog API-ja u [**docs**](https://supabase.com/docs/reference/self-hosting-auth/returns-the-configuration-settings-for-the-gotrue-server), ali najzanimljiviji krajnji tačke biće:
+Moguće je pronaći REST API za kontaktiranje ovog API-ja u [**docs**](https://supabase.com/docs/reference/self-hosting-auth/returns-the-configuration-settings-for-the-gotrue-server), ali najzanimljiviji endpoints biće:
 
 <details>
 
-<summary>Signup (/auth/v1/signup)</summary>
+<summary>Registracija (/auth/v1/signup)</summary>
 ```
 POST /auth/v1/signup HTTP/2
 Host: id.io.net
@@ -99,61 +99,171 @@ Priority: u=1, i
 ```
 </details>
 
-Dakle, kada otkrijete klijenta koji koristi supabase sa poddomenom koja im je dodeljena (moguće je da poddomena kompanije ima CNAME preko njihove supabase poddomene), možete pokušati da **napravite novi nalog na platformi koristeći supabase API**.
+Dakle, kad god otkrijete klijenta koji koristi supabase sa poddomenom koji im je dodeljen (moguće je da poddomen kompanije ima CNAME koji pokazuje na njihov supabase poddomen), možete pokušati da **kreirate novi nalog na platformi koristeći supabase API**.
 
-### tajni / service_role API ključevi
+### secret / service_role API ključevi
 
-Tajni API ključ će takođe biti generisan sa **`role: "service_role"`**. Ovaj API ključ treba da bude tajan jer će moći da zaobiđe **Row Level Security**.
+Takođe će biti generisan tajni API ključ sa **`role: "service_role"`**. Ovaj API ključ treba da bude tajan zato što će moći da zaobiđe **Row Level Security**.
 
-API ključ izgleda ovako: `eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJzdXBhYmFzZSIsInJlZiI6ImpuYW5vemRyb2J0cHFnY3doZGl6Iiwicm9sZSI6InNlcnZpY2Vfcm9sZSIsImlhdCI6MTcxNDk5MjcxOSwiZXhwIjoyMDMwNTY4NzE5fQ.0a8fHGp3N_GiPq0y0dwfs06ywd-zhTwsm486Tha7354`
+The API key looks like this: `eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJzdXBhYmFzZSIsInJlZiI6ImpuYW5vemRyb2J0cHFnY3doZGl6Iiwicm9sZSI6InNlcnZpY2Vfcm9sZSIsImlhdCI6MTcxNDk5MjcxOSwiZXhwIjoyMDMwNTY4NzE5fQ.0a8fHGp3N_GiPq0y0dwfs06ywd-zhTwsm486Tha7354`
 
-### JWT Tajna
+### JWT Secret
 
-**JWT Tajna** će takođe biti generisana kako bi aplikacija mogla da **kreira i potpisuje prilagođene JWT tokene**.
+Takođe će biti generisana **JWT tajna** tako da aplikacija može **kreirati i potpisivati prilagođene JWT tokene**.
 
 ## Autentifikacija
 
 ### Registracije
 
 > [!TIP]
-> Po **zadovoljstvu** supabase će omogućiti **novim korisnicima da kreiraju naloge** na vašem projektu koristeći prethodno pomenute API krajnje tačke.
+> Podrazumevano, supabase će dozvoliti **novim korisnicima da kreiraju naloge** na vašem projektu koristeći prethodno pomenute API endpoints.
 
-Međutim, ovi novi nalozi, po defaultu, **će morati da verifikuju svoju email adresu** da bi mogli da se prijave na nalog. Moguće je omogućiti **"Dozvoli anonimne prijave"** kako bi se ljudima omogućilo da se prijave bez verifikacije svoje email adrese. Ovo može omogućiti pristup **neočekivanim podacima** (dobijaju uloge `public` i `authenticated`).\
-Ovo je veoma loša ideja jer supabase naplaćuje po aktivnom korisniku, tako da ljudi mogu kreirati korisnike i prijaviti se, a supabase će naplatiti za njih:
+Međutim, ovi novi nalozi, po defaultu, **će morati da potvrde svoju email adresu** da bi mogli da se prijave na nalog. Moguće je omogućiti opciju **"Allow anonymous sign-ins"** da bi ljudi mogli da se prijave bez verifikacije email adrese. Ovo može omogućiti pristup **neočekivanim podacima** (dobijaju uloge `public` i `authenticated`).\
+Ovo je vrlo loša ideja jer supabase naplaćuje po aktivnom korisniku, pa bi ljudi mogli da kreiraju korisnike i prijavljuju se, i supabase će za to naplatiti:
 
 <figure><img src="../images/image (1) (1) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
 
-### Lozinke i sesije
+#### Auth: Sprovođenje ograničenja registracije na serverskoj strani
 
-Moguće je odrediti minimalnu dužinu lozinke (po defaultu), zahteve (nema po defaultu) i zabraniti korišćenje provaljenih lozinki.\
-Preporučuje se da se **poboljšaju zahtevi jer su defaultni slabi**.
+Sakrivanje dugmeta za registraciju u frontend-u nije dovoljno. Ako **Auth server i dalje dozvoljava registracije**, napadač može direktno pozvati API koristeći javni `anon` ključ i kreirati proizvoljne korisnike.
 
-- Korisničke sesije: Moguće je konfigurisati kako funkcionišu korisničke sesije (timeouti, 1 sesija po korisniku...)
-- Zaštita od botova i zloupotrebe: Moguće je omogućiti Captcha.
+Brz test (iz neautentifikovanog klijenta):
+```bash
+curl -X POST \
+-H "apikey: <SUPABASE_ANON_KEY>" \
+-H "Authorization: Bearer <SUPABASE_ANON_KEY>" \
+-H "Content-Type: application/json" \
+-d '{"email":"attacker@example.com","password":"Sup3rStr0ng!"}' \
+https://<PROJECT_REF>.supabase.co/auth/v1/signup
+```
+Preporučene mere bezbednosti:
+- Onemogućite email/password signups u Dashboard: Authentication → Providers → Email → Disable sign ups (invite-only), ili podesite ekvivalentnu GoTrue postavku.
+- Proverite da API sada vraća 4xx na prethodni poziv i da nije kreiran novi korisnik.
+- Ako se oslanjate na invites ili SSO, osigurajte da su svi ostali providers onemogućeni osim ako nisu eksplicitno potrebni.
 
-### SMTP Podešavanja
+## RLS i Views: Write bypass via PostgREST
 
-Moguće je postaviti SMTP za slanje emailova.
+Korišćenje Postgres VIEW-a za „skrivanje“ osetljivih kolona i izlaganje preko PostgREST-a može promeniti način na koji se procenjuju privilegije. U PostgreSQL-u:
+- Ordinary views izvršavaju se sa privilegijama vlasnika view-a po defaultu (definer semantics). U PG ≥15 možete se prebaciti na `security_invoker`.
+- Row Level Security (RLS) se primenjuje na osnovne tabele. Vlasnici tabela zaobilaze RLS osim ako nije podešen `FORCE ROW LEVEL SECURITY` na tabeli.
+- Updatable views mogu prihvatiti INSERT/UPDATE/DELETE koji se zatim primenjuju na osnovnu tabelu. Bez `WITH CHECK OPTION`, upisi koji ne odgovaraju predikatu view-a i dalje mogu uspeti.
 
-### Napredna Podešavanja
+Primećen obrazac rizika:
+- View sa smanjenim brojem kolona je izložen preko Supabase REST i dodeljen `anon`/`authenticated`.
+- PostgREST dozvoljava DML na updatable view-u, a operacija se procenjuje sa privilegijama vlasnika view-a, efektivno zaobilazeći predviđene RLS politike na osnovnoj tabeli.
+- Rezultat: klijenti sa niskim privilegijama mogu masovno menjati redove (npr. profile bios/avatars) koje ne bi trebali moći da izmenjuju.
 
-- Postaviti vreme isteka za pristupne tokene (3600 po defaultu)
-- Postaviti da detektuje i opozove potencijalno kompromitovane osvežavajuće tokene i timeout
-- MFA: Naznačiti koliko MFA faktora može biti registrovano odjednom po korisniku (10 po defaultu)
-- Maksimalne direktne veze sa bazom podataka: Maksimalan broj veza korišćenih za autentifikaciju (10 po defaultu)
-- Maksimalno trajanje zahteva: Maksimalno vreme dozvoljeno za trajanje Auth zahteva (10s po defaultu)
+Ilustrativan upis preko view-a (pokušano sa javnog klijenta):
+```bash
+curl -X PATCH \
+-H "apikey: <SUPABASE_ANON_KEY>" \
+-H "Authorization: Bearer <SUPABASE_ANON_KEY>" \
+-H "Content-Type: application/json" \
+-H "Prefer: return=representation" \
+-d '{"bio":"pwned","avatar_url":"https://i.example/pwn.png"}' \
+"https://<PROJECT_REF>.supabase.co/rest/v1/users_view?id=eq.<victim_user_id>"
+```
+Kontrolna lista za ojačavanje za poglede i RLS:
+- Preferirajte izlaganje osnovnih tabela sa eksplicitnim grantovima najmanjih privilegija i preciznim RLS politikama.
+- Ako morate izložiti pogled:
+- Učinite ga ne ažurirajućim (npr. uključivanjem izraza/joins) ili odbijte `INSERT/UPDATE/DELETE` na pogledu za sve nepouzdane role.
+- Primorajte `ALTER VIEW <v> SET (security_invoker = on)` tako da se koriste privilegije pozivaoca umesto vlasnika.
+- Na osnovnim tabelama koristite `ALTER TABLE <t> FORCE ROW LEVEL SECURITY;` tako da su čak i vlasnici podložni RLS.
+- Ako dopuštate pisanje preko ažurirajućeg pogleda, dodajte `WITH [LOCAL|CASCADED] CHECK OPTION` i komplementarne RLS politike na osnovnim tabelama da biste osigurali da se mogu pisati/menjati samo dozvoljeni redovi.
+- U Supabase-u, izbegavajte dodeljivanje bilo kakvih privilegija za pisanje `anon`/`authenticated` na poglede, osim ako niste verifikovali end-to-end ponašanje putem testova.
 
-## Skladištenje
+Savet za detekciju:
+- Iz `anon` i test korisnika `authenticated` pokušajte sve CRUD operacije nad svakom izloženom tabelom/pogledom. Bilo koje uspešno pisanje gde ste očekivali odbijanje ukazuje na pogrešnu konfiguraciju.
+
+### OpenAPI-pokrenuto ispitivanje CRUD operacija iz anon/auth rola
+
+PostgREST izlaže OpenAPI dokument koji možete koristiti za enumeraciju svih REST resursa, a zatim automatski ispitati dozvoljene operacije iz rola sa niskim privilegijama.
+
+Preuzmite OpenAPI (radi sa javnim anon ključem):
+```bash
+curl -s https://<PROJECT_REF>.supabase.co/rest/v1/ \
+-H "apikey: <SUPABASE_ANON_KEY>" \
+-H "Authorization: Bearer <SUPABASE_ANON_KEY>" \
+-H "Accept: application/openapi+json" | jq '.paths | keys[]'
+```
+Probe pattern (primeri):
+- Pročitaj jedan red (očekuje se 401/403/200 u zavisnosti od RLS):
+```bash
+curl -s "https://<PROJECT_REF>.supabase.co/rest/v1/<table>?select=*&limit=1" \
+-H "apikey: <SUPABASE_ANON_KEY>" \
+-H "Authorization: Bearer <SUPABASE_ANON_KEY>"
+```
+- Proverite da li je UPDATE blokiran (koristite nepostojeći filter da izbegnete menjanje podataka tokom testiranja):
+```bash
+curl -i -X PATCH \
+-H "apikey: <SUPABASE_ANON_KEY>" \
+-H "Authorization: Bearer <SUPABASE_ANON_KEY>" \
+-H "Content-Type: application/json" \
+-H "Prefer: return=minimal" \
+-d '{"__probe":true}' \
+"https://<PROJECT_REF>.supabase.co/rest/v1/<table_or_view>?id=eq.00000000-0000-0000-0000-000000000000"
+```
+- Test INSERT je blokiran:
+```bash
+curl -i -X POST \
+-H "apikey: <SUPABASE_ANON_KEY>" \
+-H "Authorization: Bearer <SUPABASE_ANON_KEY>" \
+-H "Content-Type: application/json" \
+-H "Prefer: return=minimal" \
+-d '{"__probe":true}' \
+"https://<PROJECT_REF>.supabase.co/rest/v1/<table_or_view>"
+```
+- Test DELETE je blokiran:
+```bash
+curl -i -X DELETE \
+-H "apikey: <SUPABASE_ANON_KEY>" \
+-H "Authorization: Bearer <SUPABASE_ANON_KEY>" \
+"https://<PROJECT_REF>.supabase.co/rest/v1/<table_or_view>?id=eq.00000000-0000-0000-0000-000000000000"
+```
+Preporuke:
+- Automatizujte prethodne probe za oba `anon` i minimalno `authenticated` korisnika i integrišite ih u CI kako biste uhvatili regresije.
+- Smatrajte svaku izloženu table/view/function kao primarnu površinu. Ne pretpostavljajte da view „nasleđuje“ isti RLS post kao svoje osnovne tabele.
+
+### Lozinke & sesije
+
+Moguće je odrediti minimalnu dužinu lozinke (po defaultu), zahteve (nema ih po defaultu) i zabraniti korišćenje leaked lozinki.\
+Preporučuje se da **poboljšate zahteve jer su podrazumevani slabi**.
+
+- User Sessions: Moguće je konfigurisati kako korisničke sesije funkcionišu (timeouti, 1 sesija po korisniku...)
+- Bot and Abuse Protection: Moguće je omogućiti Captcha.
+
+### SMTP Settings
+
+Moguće je podesiti SMTP za slanje emailova.
+
+### Advanced Settings
+
+- Podesite vreme isteka access tokens (3600 po defaultu)
+- Podesite detekciju i opoziv potencijalno kompromitovanih refresh tokena i timeout
+- MFA: Naznačite koliko MFA faktora može biti registrovano odjednom po korisniku (10 po defaultu)
+- Max Direct Database Connections: Maksimalan broj konekcija korišćenih za auth (10 po defaultu)
+- Max Request Duration: Maksimalno dozvoljeno trajanje Auth zahteva (10s po defaultu)
+
+## Storage
 
 > [!TIP]
-> Supabase omogućava **da se skladište fajlovi** i učine dostupnim preko URL-a (koristi S3 kante).
+> Supabase allows **to store files** and make them accesible over a URL (it uses S3 buckets).
 
-- Postaviti limit veličine fajla za upload (default je 50MB)
-- S3 veza se daje sa URL-om kao: `https://jnanozjdybtpqgcwhdiz.supabase.co/storage/v1/s3`
-- Moguće je **zatražiti S3 pristupni ključ** koji se sastoji od `access key ID` (npr. `a37d96544d82ba90057e0e06131d0a7b`) i `secret access key` (npr. `58420818223133077c2cec6712a4f909aec93b4daeedae205aa8e30d5a860628`)
+- Podesite ograničenje veličine uploadovanih fajlova (podrazumevano 50MB)
+- The S3 connection is given with a URL like: `https://jnanozjdybtpqgcwhdiz.supabase.co/storage/v1/s3`
+- Moguće je **request S3 access key** koji se sastoje od `access key ID` (npr. `a37d96544d82ba90057e0e06131d0a7b`) i `secret access key` (npr. `58420818223133077c2cec6712a4f909aec93b4daeedae205aa8e30d5a860628`)
 
-## Edge Funkcije
+## Edge Functions
 
-Moguće je **čuvati tajne** u supabase-u koje će biti **dostupne putem edge funkcija** (mogu se kreirati i brisati sa web-a, ali nije moguće direktno pristupiti njihovoj vrednosti).
+Moguće je takođe **store secrets** u supabase koji će biti **accessible by edge functions** (mogu se kreirati i obrisati iz web interfejsa, ali nije moguće direktno pristupiti njihovim vrednostima).
+
+## References
+
+- [Building Hacker Communities: Bug Bounty Village, getDisclosed’s Supabase Misconfig, and the LHE Squad (Ep. 133) – YouTube](https://youtu.be/NI-eXMlXma4)
+- [Critical Thinking Podcast – Episode 133 page](https://www.criticalthinkingpodcast.io/episode-133-building-hacker-communities-bug-bounty-village-getdisclosed-and-the-lhe-squad/)
+- [Supabase: Row Level Security (RLS)](https://supabase.com/docs/guides/auth/row-level-security)
+- [PostgreSQL: Row Security Policies](https://www.postgresql.org/docs/current/ddl-rowsecurity.html)
+- [PostgreSQL: CREATE VIEW (security_invoker, check option)](https://www.postgresql.org/docs/current/sql-createview.html)
+- [PostgREST: OpenAPI documentation](https://postgrest.org/en/stable/references/api.html#openapi-documentation)
 
 {{#include ../banners/hacktricks-training.md}}