Resumo: segurança PWA
- As Progressive Web Apps (PWAs) herdam as preocupações de segurança do lado do cliente de qualquer site, mais uma nova superfície de ataque: o service worker, que pode interceptar todos os pedidos de rede do cliente indefinidamente.
- Um service worker comprometido pode persistir durante semanas ou meses, porque os navegadores os colocam em cache de forma agressiva, e pode exfiltrar silenciosamente todas as interações subsequentes do utilizador.
- A segurança das PWA exige a mesma abordagem de monitorização do lado do cliente que qualquer site moderno: inventário de scripts e workers, verificação de integridade e deteção, durante a sessão, de tentativas de adulteração.
Sem tempo? Veja o bloqueio in-browser de Magecart e skimmers da cside. Cobre tudo o que se segue numa única implementação.
As Progressive Web Apps (PWAs) mudaram a forma como construímos e distribuímos aplicações, e é fácil perceber porque ganharam adesão. Simplificam o desenvolvimento, combinando a flexibilidade da web com as capacidades do mobile. Funcionalidades como acesso offline, notificações push e integração com hardware chegam todas envoltas na conveniência de um navegador. Atualizações como o iOS 16.4 em 2023 facilitaram a incorporação dessas capacidades do navegador em aplicações, e a adoção de PWAs cresceu desde então.
Mas há um reverso da medalha. Com a sua ascensão, chega um aumento nos riscos de segurança do lado do cliente. E o setor? Mal se fala sobre isso.
PWAs são navegadores
As PWAs são navegadores. Transformam cada aplicação num micro-ambiente web. É esse o seu poder: carregam instantaneamente, reutilizam código de sites e ligam-se a serviços web sem atrito. No entanto, esta mesma arquitetura também as expõe às vulnerabilidades da web, especialmente aos riscos do lado do cliente ligados a scripts de terceiros.
Os sites modernos dependem destes scripts para tudo, desde analytics até ferramentas de envolvimento. Embora sejam convenientes, expandem massivamente a sua superfície de ataque. Numa PWA, esses mesmos scripts são executados diretamente na aplicação, o que amplifica riscos como fugas de dados e injeções maliciosas.
O seu risco já não se limita aos visitantes do site; estende-se a todos os utilizadores da aplicação.
Tenha em mente a cadeia de fornecimento da web
O lado do cliente é a última paragem da cadeia. É onde o seu código, tanto próprio como de terceiros, é carregado no navegador ou na PWA do utilizador.
Os scripts de terceiros, fornecidos por fornecedores externos, são essenciais, mas frequentemente ficam fora do seu controlo, o que os torna alvos privilegiados para atacantes. Scripts de analytics comprometidos vazam dados de utilizadores. Código malicioso é injetado em chatbots. O lado do cliente está sob ameaça constante.
Construir uma PWA apenas amplifica estes riscos ao trazê-los para dentro da sua aplicação.
PWAs não são más
Dito isto, não somos contra o uso de PWAs. Dependendo das suas necessidades, são provavelmente a escolha mais inteligente. Apenas não ignore os desafios de segurança que trazem. Infelizmente, as vulnerabilidades do lado do cliente, especialmente as provenientes de scripts de terceiros, são frequentemente ignoradas.
Criámos a cside, uma ferramenta de monitorização e segurança de scripts de terceiros. Isto resolve todos estes problemas tanto em ambientes web como em PWA. Instale-a agora mesmo, ou fale connosco. Teremos todo o gosto em ajudá-lo a começar.
