Comprobar el aislamiento de clientes en una aplicación SaaS
Un plan concreto para comprobar el acceso a los datos, las exportaciones y las tareas en segundo plano entre los espacios de cada cliente.
Defina primero el espacio de cliente
Un tenant es un espacio de cliente separado dentro de su aplicación. No tiene que ser una persona ni siempre una empresa completa. Defina qué datos pertenecen al mismo ámbito, quién puede ser miembro y qué tareas permite cada rol. Una cuenta de usuario puede tener varias pertenencias; iniciar sesión no selecciona por sí solo un ámbito autorizado de datos.
Microsoft distingue el tenant lógico del despliegue técnico. Una base dedicada y tablas compartidas generan requisitos distintos de operación y protección de acceso. Ninguna opción sustituye comprobar todas las vías previstas.
Un plan con dos espacios ficticios
Planifique estos casos con datos sintéticos en un entorno de pruebas separado. Son resultados esperados, no una prueba de seguridad realizada. Los espacios se llaman TA y TB. El trabajo SV-12 pertenece a TA; el trabajo SV-41, a TB. Cada cuenta de prueba tiene los permisos previstos sobre trabajos solo en su espacio.
Acceso comprobado | Acción | Resultado esperado |
|---|---|---|
Cuenta autorizada en | Leer | Solo aparecen sus datos de trabajo permitidos para ese rol. |
La misma cuenta en | Leer o modificar directamente | No se entregan ni modifican datos de |
Cuenta en | Buscar y exportar | Resultados y archivo no contienen datos de |
Cuenta de | Usar la misma vía de acceso a la caché del servidor |
|
Cuenta en | Encolar una exportación, retirar el acceso antes de procesar | La tarea comprueba de nuevo y se rechaza según esta regla de prueba. |
Compruebe datos y cambios reales en el servidor. Ocultar un botón no demuestra aislamiento. Use también un identificador conocido de un objeto de otro espacio: un identificador difícil de adivinar no debe ser la única barrera.
Mantenga el límite durante todo el flujo
OWASP exige contexto de tenant verificado por el servidor y autorización adecuada. Los identificadores enviados por el cliente son una selección, no un permiso. Compruebe pertenencia actual, acción permitida y pertenencia del objeto objetivo. Si falta el contexto necesario, la aplicación no debe recurrir a una consulta sin restricciones.
Incluya adjuntos, claves de caché dependientes del espacio, exportaciones y procesamiento diferido. Las tareas de fondo necesitan transmitir contexto y autorización de forma fiable y realizar comprobaciones adecuadas al procesar. Defina cómo se tratan los derechos retirados entretanto.
El contenido público y global no necesita un tenant artificial. Las tareas de plataforma entre espacios sí necesitan una identidad autorizada expresamente y accesos trazables. Registre por separado resultado esperado, hallazgo real y corrección para cada caso. Repita las comprobaciones afectadas cuando cambien las vías de acceso o los roles.
Fuentes
Escrito por
- Nora HenningRedactora de seguridad informáticaNora Henning se encarga en ASES de los contenidos editoriales sobre seguridad informática. Escribe sobre la seguridad de las aplicaciones y explica la relación entre los derechos de acceso y la protección de los datos de la empresa.
Seguir leyendo
Todos los artículos
Desarrollo de software con ASES
Software a medida, aplicaciones web y móviles