2

Yo tengo una Real Time Database de cuyo uso es de sólo lectura. Es para una aplicación que sólo muestra unos datos específicos. No se requiere modificación alguna de los datos por parte del usuario.

La seguridad está establecida así:

{
  "rules": {
    ".read": true,
    ".write": false
  }
}

Consideraba que los datos así estaban seguros, pero cada cierto tiempo recibo en mi email un mensaje como este:

introducir la descripción de la imagen aquí

Me mandan a este enlace, pero no entiendo bien qué regla tendría que aplicar en mi caso para evitar que me siga llegando este aviso.

La idea, como ya dije, es poder leer la base de datos desde una aplicación en Android sin necesidad de iniciar sesión de usuarios o cosas de ese tipo.

¿Qué reglas de seguridad tendría que aplicar para este caso? ¿Por qué en Firebase un acceso de sólo lectura no es seguro?

2
  • La seguridad no es solo para evitar que un oponente modifique tus datos, también es para evitar que alguien sin acceso acceda a ellos. Al fin y al cabo ¿cómo sabe firebase que lo que guardas en la base de datos no es confidencial (por ejemplo datos de tarjetas de crédito)?
    – SJuan76
    Commented el 17 oct. 2018 a las 14:05
  • Gracias @SJuan76. En este caso no hay nada confidencial. No sé si hacen esto ¿para evitar que se pueda acceder a los datos desde fuera de la aplicación? El hecho es que yo no quiero autentificar para una simple lectura. Tampoco me queda claro si con añadir Firebase al proyecto esto sirve como autentificación. Lo que ellos explican no me parece muy claro al respecto.
    – A. Cedano
    Commented el 17 oct. 2018 a las 14:10

3 respuestas 3

3

El problema que tienes es que por ejemplo estas reglas que tenes en la base de datos

{
  "rules": {
    ".read": true,
    ".write": false
  }
}

son inseguras por que no estas usando ningun sistema de authenticacion en la app para verificar quien lee los datos, el .write:false no es el que estaria molestando.

Como te indica el mensaje de Firebase

Cualquier usuario puede leer tu base de datos

Te esta indicando que en .read:true esta la falla de seguridad.

Para proteger tu base de datos y hacer que el error se vaya, podrias utilizar algun sistema de authenticacion, aunque sea anonimo, que provee Firebase

Una vez que implementes algun sistema de autenticacion antes de leer o escribir tus datos, vas a tener que cambiar tus reglas por las siguientes

{
  "rules": {
    ".read": "auth!=null",
    ".write": "auth!=null"
  }
}

Para hacerlo aun mas seguro, podes limitar la escritura de los datos del usuario que se logueo de la siguiente manera

{
  "rules": {
    "users": {
      "$user_id": {
        // Solo le permite escribir al dueño de esa cuenta
        // Donde el uid es identico al ($user_id)
        ".write": "$user_id === auth.uid"
      }
    }
  }
}

Aun asi, podes seguir teniendo .write:false y solo autorizar a aquellos usuarios autenticados para leer tu base de datos.

{
      "rules": {
        ".read": "auth!=null",
        ".write": false
      }
    }

Puedes leer un poco mas de como funcionan las reglas en el siguiente link

Y te super recomiendo este link, donde vas a poder ver que reglas son inseguras y cuales no, ademas de como solucionarlo

Con respecto a esto

La idea, como ya dije, es poder leer la base de datos desde una aplicación en Android sin necesidad de iniciar sesión de usuarios o cosas de ese tipo.

Puedes implementar el sign in con anonimato, lo unico que debe saber Firebase es que cada sesion tiene un token, y entonces asi poder validar que ese usuario puede leer la base de datos.

1
0

Pienso que la solucion la tienes en la misma pagina de Firebase. Alli puedes leer lo siguiente:

 {
  // Allow anyone to read data, but only authenticated content owners can
  // make changes to their data

  "rules": {
    "some_path/$uid": {
      ".read": true,
      // or ".read": "auth.uid != null" for only authenticated users
      ".write": "request.auth.uid == uid"
    }
  }
}

Firebase CLARAMENTE explica que esta regla te permite que cualquiera pueda leer pero que solo el propietario de la base de datos pueda modificar su contenido, para lo cual tendras que loguearte a travez de la pagina de firebase o loguearte con el usuario y contraseña que crea la base de datos en la app.

1
  • usa muchas mas reglas firebase
    – nestdan
    Commented el 4 mar. 2022 a las 19:19
0

Te recomiendo que implementes un auth anónimo es lo mas fácil y rápido de implementar si no necesitas o no tienes un login:

1- Ve a tu Admin de Firebase y habilita el Auth selecciona la opción anónimo: imagenDeSeleccion

Si tu aplicación es android esta es la documentación para implementar la auth anónima: https://firebase.google.com/docs/auth/android/anonymous-auth?hl=es-419

Si es iOS: https://firebase.google.com/docs/auth/ios/anonymous-auth?hl=es-419

y agregas en tus reglas de realtime:

{
  "rules": {
    ".read": "auth.uid != null",
    ".write": "auth.uid != null"
  }
}

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.