Códice | Entradas sobre «ciberseguridad»

El algoritmo de Karaca

JavGuerra — Thu, 15 Dec 2022 00:00:00 GMT

Etiquetas: #código, #javascript, #criptografía, #ciberseguridad

En este post resuelvo, en JavaScript el reto de programación consistente en desarrollar una función que es capaz de encriptar y desencriptar texto utilizando el algoritmo de encriptación de Karaca.

Descubrí esta semana, un poco tarde, los retos de programación semanales de Mouredev para 2022 y me atrajo el enunciado de este ejercicio.

Busqué información en Internet sobre el algoritmo, encontrando lo siguiente:

Make a function that encrypts a given input with these steps:
Input: “apple”
Step 1: Reverse the input: “elppa”
Step 2: Replace all vowels using the following chart:
a => 0, e => 1, i => 2, o => 3, u => 4 # “1lpp0”
Step 3: Add “aca” to the end of the word: “1lpp0aca”
Output: “1lpp0aca”
All inputs are strings, no uppercases and all output must be strings.

Y me tomé la libertad de corregir la relación entre vocales y números que, en la fuente original publicada por Furkan Karaca, en el portal de retos Edabit parece no ser correcta.

El algoritmo, sin una aparente utilidad práctica, es un buen ejercicio de programación que combina el uso de expresiones regulares, uso de arreglos y cadenas y lógica.

Entendiendo el problema

Lo que pide el ejercicio es que nuestra función debe poder codificar y decodificar un texto, en minúsculas, que le pasemos por parámetro. Este texto, lógicamente, no puede estar vacío.

Cualquier dato que le pasemos que no sea texto debe impedir la ejecución de la codificación/decodificación. La función puede devolver un error, o bien el dato original suministrado. Opto por esta segunda posibilidad.

La cadena de caracteres suministrada a la función puede tener espacios al inicio y/o al final, incluso puede contener sólo espacios, por lo que amerita limpiar la cadena, y que esta contenga algo más que sólo espacios.

La cadena no puede contener sólo números, esto equivaldría a suministrar un número entero a la función. De hecho, el algoritmo presenta un problema importante con esto. Si se le suministra un frase que contenga dígitos en el rango del mapeo de vocales (0-1-2-3-4) no realizará bien el cifrado, pues tomará estos dígitos como parte del descifrado, mostrando un galimatías. Ej. «100 horas» -> «s0r3h 001aca» -> «eaa horas».

Para saber si se puede decodificar una cadena proporcionada, es decir, para saber si está codificada con el algoritmo de Karaca, se debe cumplir que esta termine con un «aca», que contenga algún número entre el 0 y el 4, y que su longitud sea mayor que la de la cadena de control «aca». De no cumplirse esto, se entiende que la cadena que se proporciona a la función no está codificada, y entonces puede ser codificada.

Para realizar la conversión, se debe recorrer la cadena teniendo en cuenta el mapeo de vocales del enunciado (a => 0, e => 1, i => 2, o => 3, u => 4) y viceversa.

Resolución

El algoritmo de Karaca en JavaScript, atendiendo a las consideraciones anteriores, es el siguiente:

01. /**
02.  * Función en JavaScript que encripta y desencripta texto en minúsculas en 
03.  * inglés, sin números, utilizando el algoritmo de encriptación de Karaca.
04.  * @param {String} str
05.  * @returns String
06.  * @author Javier Guerra
07.  */
08. function karacaAlgorithm(str = "") {
09. 
10.    str = str ?? "";
11.
12.    if (typeof str === "string" && str.trim().length && str.match(/\D/g)) {
13.        
14.        str = str.trim().toLowerCase().split("").reverse().join("");
15.
16.        const vowels = "aeiou".split("");
17.        const control = "aca";
18.
19.        if (
20.            str.startsWith(control) &&
21.            str.match(/\d/g) &&
22.            str.length > control.length
23.        ) {
24.            // decode
25.            str = str.slice(control.length);
26.            vowels.forEach((chr, i) => {
27.                if (str.includes(i)) str = str.replaceAll(i, chr);
28.            });
29.        } else {
30.            // encode
31.            vowels.forEach((chr, i) => {
32.                if (str.includes(chr)) str = str.replaceAll(chr, i);
33.            });
34.            str += control;
35.        }
36.    }
37.
38.    return str.toString();
39. }

En la línea 8, con el valor por defecto "" del parámetro se evita el error si llamemos a la función sin ningún parámetro, devolviendo una cadena vacía.

en la línea 10 se comprueba que el parámetro recibido no está colando un valor null o undefined con el operador coalescente nulo (??).

En la línea 12 se comprueba que el dato recibido es una cadena, que tiene al menos un carácter, y cuenta con alguna consonante. De no ser así, se devuelve el parámetro recibido.

En la línea 14 se realizan varias conversiones al parámetro recibido: se limpian los espacios iniciales y/o finales, se pasa la cadena a minúsculas, y se invierte la cadena. Esto último se hace mediante la concatenación de varios métodos: split, para convertir la cadena en un arreglo, reverse para invertir el orden del contenido del arreglo y join para unir el contenido del arreglo en una cadena.

Las líneas 16 y 17 definen las variables que usaremos en el algoritmo.

En la comprobación de las líneas de la 19 a la 23 se decide si se va a decodificar la cadena recibida, es decir, si se cumple que la cadena termina en «aca», contiene algún dígito y su longitud es mayor que la longitud de «aca». Si es así, se lleva a cabo la codificación a partir de la línea 25. en caso contrario, se lleva a cabo la codificación a partir de la línea 31.

Para la decodificación, primero se elimina el control «aca» y luego se recorre el arreglo de vocales con forEach, de tal forma que si alguno de los elementos del arreglo es encontrado en la cadena a decodificar, este se sustituye por la vocal correspondiente.

Para la codificación se lleva a cabo el proceso contrario. Al recorrer el arreglo de vocales, se sustituye el dígito por la vocal correspondiente. Luego se añade la cadena de control «aca».

Por último, se devuelve el resultado de las operaciones sobre la cadena recibida convertida a cadena, por si el valor recibido fue un número, ya que la función debe devolver una cadena.

Prueba

El siguiente código de prueba debe poder codificar y decodificar la cadena original suministrada obteniendo la cadena original como resultado.

// Testing
const str = "Solving an equation produces, instantly, great euphoria.";
console.log(karacaAlgorithm(str));
console.log(karacaAlgorithm(karacaAlgorithm(str)));

El resultado esperado debe ser:

.02r3hp41 t01rg ,yltn0tsn2 ,s1c4d3rp n32t04q1 n0 gn2vl3saca
solving an equation produces, instantly, great euphoria.

La frase, en inglés, incluye las palabras equation y euphoria que cuentan con todas las vocales.

Enlaces

Logout personalizado con Spring Security

JavGuerra — Sat, 13 Jul 2024 00:00:00 GMT

Etiquetas: #código, #java, #spring boot, #spring security, #ciberseguridad

En un artículo anterior he usado variables de sesión para guardar información de la aplicación: mensajes para el usuario, aviso de cookies… Puede que, cuando el usuario salga de su sesión, queramos conservar estos datos que seguirán siendo útiles aunque no esté autenticado. En esta entrada muestro mi solución usando Spring Security.

Se asume que el lector tiene conocimientos generales de Spring Boot y Spring Security para aplicar el contenido.

El contexto de seguridad

El primer paso en el proceso de logout que lleva a cabo Spring Security es invalidar la sesión del usuario. Esto significa que Spring Security elimina cualquier información asociada con la sesión del usuario, como datos de estado de sesión almacenados en el servidor o en cookies (borra la información, pero no la cookie). Al invalidar la sesión, se asegura de que el usuario ya no pueda acceder a la aplicación como si estuviera autenticado.

Después de invalidar la sesión, Spring Security también limpia el contexto de seguridad actual. Esto incluye eliminar cualquier token de Authentication que represente al usuario autenticado, asegurando que el usuario ya no sea reconocido como autenticado en la aplicación.

Pero en este caso no interesa ese borrado completo, sino sólo la información de autenticación. Para ello debo codificar mi propio logout limpiando el contexto de seguridad pero sin invalidar la sesión.

Tomando el control de Logout

Como sabemos, para configurar Spring Security se usa la clase SecurityConfig.class, que generalmente incluye el componente SecurityFilterChain, fundamental para establecer filtros a las peticiones HTTP que se reciben en la aplicación. En este ejemplo me centraré en la parte de su configuración relativa al logout.

@Configuration
@EnableWebSecurity
public class  SecurityConfig {

    ...

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http)  throws Exception {
        http.authorizeHttpRequests(authRequest -> authRequest

                ...

                .requestMatchers(HttpMethod.POST, "/logout").permitAll()

                .anyRequest().authenticated()
            )

            ...

            .logout(logout -> logout
                .logoutUrl("/logout")
                .permitAll()
            )

        return http.build();
    }
}

Con ... indico que el código puede ser más amplio y contener otras configuraciones.

En la línea .requestMatchers(HttpMethod.POST, "/logout").permitAll() estoy permitiendo el acceso a la ruta personalizada para llevar a cabo el logout. Realmente, esto no sería necesario al incluir .permitAll() después de logoutUrl("/logout"). Tampoco sería necesario porque la ruta /logout está disponible por defecto. No obstante, esto puede ser útil si decidimos usar otra ruta distinta a /logout en la aplicación.

Para la gestión del token del usuario, será necesario definir un controlador propio para la ruta logout. Algo similar a esto:

@Slf4j
@Controller
public class LogoutController {

    @RequestMapping("/logout")
    public String logout() {

        log.info("logout");

        SecurityContextHolder.getContext().setAuthentication(null);

        // cosas que hacer tras el cierre de sesión aquí

        return "logout";
    }
}

La información de sesión se guarda en una cookie llamada JSESSIONID, que contendrá las variables de sesión, incluido el token de autenticación.

Con SecurityContextHolder.getContext().setAuthentication(null); elimino el token de autenticación, pero sin borrar toda la información de la cookie, como las variables de sesión.

Después de esto, puedo realizar algunas acciones asociadas al cierre y redirigir al login, o como en este caso, mostrar la vista logout para mostrar un mensaje de despedida.

Refinando el logout

Al usar null elimino el token de autenticación del usuario, pero puede que, en la plantilla que devuelvo con return (logout en el caso anterior), sea necesario usar el contexto de seguridad, por ejemplo mostrando una información u otra en un fragmento de la plantilla si estamos autenticados o no. Con este método, ni sec:authorize="isAnonymous()" ni sec:authorize="isAuthenticated()" funcionarán en Thymeleaft, ya que ahora no existe el token que indique si el usuario es anónimo o está autenticado.

Esto ocurre sólo para la vista asociada al controlador que es llamada tras borrar el token, pero no ocurre así para las siguientes vistas, en las que parece que el token es regenerado como anónimo.

Entonces, si en la siguiente vista no vamos a usar la autenticación, será suficiente con usar null, pero si no es así, entonces hay que cambiar el token en vez de eliminarlo, pero Spring Boot no tiene un token por defecto que pueda usar, así que debo construir uno.

Primeramente añado el siguiente código en

@Bean
public AnonymousAuthenticationToken anonymousAuthenticationToken() {
    List<GrantedAuthority> authorities = Collections.singletonList(new SimpleGrantedAuthority("ROLE_ANONYMOUS"));
    return new AnonymousAuthenticationToken("ANONYMOUS_USER", "ANONYMOUS_USER", authorities);
}

Que me permitirá crear anonymousAuthenticationToken como un Bean. Este método es responsable de crear e inicializar el objeto AnonymousAuthenticationToken. Este token es utilizado por Spring Security para representar la autenticación de usuarios anónimos dentro de una aplicación.

El método realiza las siguientes acciones:

Inicialización de Autoridades: Primero, creo una lista (List<GrantedAuthority>) con un solo elemento, que es una instancia de SimpleGrantedAuthority con el rol "ROLE_ANONYMOUS". Las autoridades (o roles) determinan los privilegios que tiene un usuario dentro de la aplicación. En este caso, asigno al usuario anónimo el rol de ROLE_ANONYMOUS.
Creación del Token: Luego, utilizo esta lista de autoridades para construir un nuevo AnonymousAuthenticationToken, pasando también dos cadenas de texto ("ANONYMOUS_USER") como nombre y detalles del usuario. Estos valores pueden ser personalizados según sea necesario.

Ya puedo usar el token en el controlador, como se muestra:

@Slf4j
@RequiredArgsConstructor
@Controller
public class LogoutController {

    private final AnonymousAuthenticationToken anonymousAuthenticationToken;

    @RequestMapping("/logout")
    public String logout() {

        log.info("logout");

        SecurityContextHolder.getContext().setAuthentication(anonymousAuthenticationToken);

        // cosas que hacer tras el cierre de sesión aquí

        return "logout";
    }
}

Ahora sí, el usuario será anónimo, y cualquier comprobación en la plantilla Thymeleaft que incluya sec:authorize="isAnonymous()" permitirá que la etiqueta HTML que lo use sea mostrada.

Consideraciones

Tal vez podría crearse un servicio al que llamar desde el controlador para gestionar el logout, o un manejador propio CustomLogoutHandler que realice esta función de cierre de sesión sin la necesidad de crear un controlador, y que se use directamente desde SecurityConfig.class.

Se han de tener en cuenta las consideraciones de seguridad relacionadas con este método. Mantener información de la sesión de usuario una vez se lleva a cabo el logout no siempre es seguro, y se deben controlar las posibles fugas de información para evitar problemas.

Un ejemplo

Puedes ver el código que implementan esta funcionalidad en el repositorio de la aplicación Cartelera DAW.

Repositorio de Cartelera DAW

Mira también el artículo donde se usan las variables de sesión que quiero preservar:

Notificaciones con Thymeleaft