@anonympins/fingerprint 0.4.2 → 0.4.4

package/src/php/FingerprintClient.php

@@ -1,132 +1,132 @@
-<?php
-
-declare(strict_types=1);
-
-namespace Anonympins\Fingerprint;
-use Anonympins\Fingerprint\Config\SecurityProfiles;
-
-/**
- * FingerprintClient - Wrapper PHP pour la bibliothèque de fingerprinting côté client.
- *
- * Cette classe facilite l'intégration de la bibliothèque JavaScript `fingerprint.client.js`
- * dans une application PHP. Elle gère l'injection sécurisée du script et la création
- * de "honeypots" (pièges à bots) dans les formulaires.
- */
-class FingerprintClient
-{
-    /**
-     * @var string Le chemin vers le fichier de la bibliothèque client JavaScript.
-     */
-    private string $clientScriptPath;
-
-    /**
-     * @var array La configuration à passer à la fonction `initializeClient` de la bibliothèque JS.
-     */
-    private array $clientConfig;
-
-    /**
-     * @var string|null Un nonce cryptographique pour la Content Security Policy (CSP).
-     */
-    private ?string $nonce;
-
-    /**
-     * Constructeur de la classe.
-     *
-     * @param string $clientScriptPath Le chemin d'accès web au fichier `fingerprint.client.js`.
-     * @param array $clientConfig La configuration pour la bibliothèque client (souris, frappes, honeypots, etc.).
-     */
-    public function __construct(string $clientScriptPath, array $clientConfig = [])
-    {
-        $this->clientScriptPath = $clientScriptPath;
-
-        $defaultConfig = [
-            'mouse' => true,
-            'keystrokes' => true,
-            'clicks' => true,
-            'honeypots' => [],
-            'fetch' => [
-                'handleChallenges' => true,
-                'probationaryTtl' => 30000, // 30 seconds
-            ],
-            'wasm' => true, // Activer la tentative de chargement du module WASM
-            'wasmPath' => '/fp.js' // Chemin vers le script de chargement WASM
-        ];
-
-        // Utiliser une fusion profonde pour permettre de surcharger des sous-clés
-        $this->clientConfig = SecurityProfiles::deepMerge($defaultConfig, $clientConfig);
-
-        try {
-            // Génère un nonce pour CSP si possible, pour une sécurité renforcée.
-            $this->nonce = bin2hex(random_bytes(16));
-        } catch (\Exception $e) {
-            $this->nonce = null;
-        }
-    }
-
-    /**
-     * Génère un champ de formulaire "honeypot" caché.
-     * Les bots le rempliront, mais il sera invisible pour les humains.
-     *
-     * @param string $fieldName Le nom du champ (doit correspondre à la configuration client).
-     * @return string Le code HTML du champ honeypot.
-     */
-    public function generateHoneypotField(string $fieldName): string
-    {
-        // Ajoute le champ à la configuration pour que le script client le surveille.
-        if (!in_array($fieldName, $this->clientConfig['honeypots'])) {
-            $this->clientConfig['honeypots'][] = $fieldName;
-        }
-
-        // Styles CSS pour cacher le champ de manière robuste.
-        $styles = 'position:absolute; left:-9999px; top:-9999px; opacity:0;';
-
-        return '<div style="' . $styles . '" aria-hidden="true">'
-            . '<label for="' . htmlspecialchars($fieldName) . '">Ne pas remplir ce champ</label>'
-            . '<input type="text" id="' . htmlspecialchars($fieldName) . '" name="' . htmlspecialchars($fieldName) . '" tabindex="-1" autocomplete="off">'
-            . '</div>';
-    }
-
-    /**
-     * Génère le bloc de script complet à inclure dans une page HTML.
-     *
-     * @return string Le code HTML des balises <script>.
-     */
-    public function getScriptTag(): string
-    {
-        $configJson = json_encode($this->clientConfig);
-        $nonceAttr = $this->nonce ? ' nonce="' . $this->nonce . '"' : '';
-
-        // Le script d'initialisation qui sera inclus dans la page.
-        $initScript = <<<JS
-document.addEventListener('DOMContentLoaded', function() {
-    const config = {$configJson};
-    if (window.ClientLibrary) {
-        if (config.wasmPath) {
-            const wasmScript = document.createElement('script');
-            wasmScript.src = config.wasmPath;
-            wasmScript.async = true;
-            wasmScript.nonce = '{$this->nonce}';
-            document.head.appendChild(wasmScript);
-        }
-
-        window.ClientLibrary.initializeClient(config);
-    } else {
-        console.error('Fingerprint client library not loaded.');
-    }
-});
-JS;
-
-        // On combine le chargement de la bibliothèque et le script d'initialisation.
-        return '<script src="' . htmlspecialchars($this->clientScriptPath) . '"' . $nonceAttr . '></script>'
-            . '<script' . $nonceAttr . '>' . $initScript . '</script>';
-    }
-
-    /**
-     * Retourne le nonce généré pour pouvoir l'utiliser dans les en-têtes CSP.
-     * @return string|null
-     */
-    public function getNonce(): ?string
-    {
-        return $this->nonce;
-    }
+<?php
+
+declare(strict_types=1);
+
+namespace Anonympins\Fingerprint;
+use Anonympins\Fingerprint\Config\SecurityProfiles;
+
+/**
+ * FingerprintClient - Wrapper PHP pour la bibliothèque de fingerprinting côté client.
+ *
+ * Cette classe facilite l'intégration de la bibliothèque JavaScript `fingerprint.client.js`
+ * dans une application PHP. Elle gère l'injection sécurisée du script et la création
+ * de "honeypots" (pièges à bots) dans les formulaires.
+ */
+class FingerprintClient
+{
+    /**
+     * @var string Le chemin vers le fichier de la bibliothèque client JavaScript.
+     */
+    private string $clientScriptPath;
+
+    /**
+     * @var array La configuration à passer à la fonction `initializeClient` de la bibliothèque JS.
+     */
+    private array $clientConfig;
+
+    /**
+     * @var string|null Un nonce cryptographique pour la Content Security Policy (CSP).
+     */
+    private ?string $nonce;
+
+    /**
+     * Constructeur de la classe.
+     *
+     * @param string $clientScriptPath Le chemin d'accès web au fichier `fingerprint.client.js`.
+     * @param array $clientConfig La configuration pour la bibliothèque client (souris, frappes, honeypots, etc.).
+     */
+    public function __construct(string $clientScriptPath, array $clientConfig = [])
+    {
+        $this->clientScriptPath = $clientScriptPath;
+
+        $defaultConfig = [
+            'mouse' => true,
+            'keystrokes' => true,
+            'clicks' => true,
+            'honeypots' => [],
+            'fetch' => [
+                'handleChallenges' => true,
+                'probationaryTtl' => 30000, // 30 seconds
+            ],
+            'wasm' => true, // Activer la tentative de chargement du module WASM
+            'wasmPath' => '/fp.js' // Chemin vers le script de chargement WASM
+        ];
+
+        // Utiliser une fusion profonde pour permettre de surcharger des sous-clés
+        $this->clientConfig = SecurityProfiles::deepMerge($defaultConfig, $clientConfig);
+
+        try {
+            // Génère un nonce pour CSP si possible, pour une sécurité renforcée.
+            $this->nonce = bin2hex(random_bytes(16));
+        } catch (\Exception $e) {
+            $this->nonce = null;
+        }
+    }
+
+    /**
+     * Génère un champ de formulaire "honeypot" caché.
+     * Les bots le rempliront, mais il sera invisible pour les humains.
+     *
+     * @param string $fieldName Le nom du champ (doit correspondre à la configuration client).
+     * @return string Le code HTML du champ honeypot.
+     */
+    public function generateHoneypotField(string $fieldName): string
+    {
+        // Ajoute le champ à la configuration pour que le script client le surveille.
+        if (!in_array($fieldName, $this->clientConfig['honeypots'])) {
+            $this->clientConfig['honeypots'][] = $fieldName;
+        }
+
+        // Styles CSS pour cacher le champ de manière robuste.
+        $styles = 'position:absolute; left:-9999px; top:-9999px; transform:scale(0); opacity:0; pointer-events:none;';
+
+        return '<div style="' . $styles . '" aria-hidden="true">'
+            . '<label for="' . htmlspecialchars($fieldName) . '">' . $fieldName . '</label>'
+            . '<input type="text" id="' . htmlspecialchars($fieldName) . '" name="' . htmlspecialchars($fieldName) . '" tabindex="-1" autocomplete="off">'
+            . '</div>';
+    }
+
+    /**
+     * Génère le bloc de script complet à inclure dans une page HTML.
+     *
+     * @return string Le code HTML des balises <script>.
+     */
+    public function getScriptTag(): string
+    {
+        $configJson = json_encode($this->clientConfig);
+        $nonceAttr = $this->nonce ? ' nonce="' . $this->nonce . '"' : '';
+
+        // Le script d'initialisation qui sera inclus dans la page.
+        $initScript = <<<JS
+document.addEventListener('DOMContentLoaded', function() {
+    const config = {$configJson};
+    if (window.ClientLibrary) {
+        if (config.wasmPath) {
+            const wasmScript = document.createElement('script');
+            wasmScript.src = config.wasmPath;
+            wasmScript.async = true;
+            wasmScript.nonce = '{$this->nonce}';
+            document.head.appendChild(wasmScript);
+        }
+
+        window.ClientLibrary.initializeClient(config);
+    } else {
+        console.error('Fingerprint client library not loaded.');
+    }
+});
+JS;
+
+        // On combine le chargement de la bibliothèque et le script d'initialisation.
+        return '<script src="' . htmlspecialchars($this->clientScriptPath) . '"' . $nonceAttr . '></script>'
+            . '<script' . $nonceAttr . '>' . $initScript . '</script>';
+    }
+
+    /**
+     * Retourne le nonce généré pour pouvoir l'utiliser dans les en-têtes CSP.
+     * @return string|null
+     */
+    public function getNonce(): ?string
+    {
+        return $this->nonce;
+    }
 }

package/src/php/FingerprintEngine.php

@@ -417,6 +417,11 @@
          // Score d'incohérence des Client-Hints
          $clientHintsInconsistency = RequestUtils::getClientHintsInconsistencyScore($context);
 
+         // Score de similarité globale de l'empreinte (Clustering Botnet)
+         $stableFp = RequestUtils::extractStablePart($currentDeviceHash);
+         $stableFpHash = FingerprintBuilder::cyrb53($stableFp);
+         $botnetCluster = RequestUtils::getBotnetClusterScore($context, $stableFpHash);
+
          // NOUVEAU: Score de réputation du sous-réseau IP
          $subnetScore = RequestUtils::getSubnetScore($context, $deviceId);
 
@@ -437,6 +442,7 @@
              'threatIntelScore' => $threatIntel['threatIntelScore'],
              'clientHintsInconsistencyScore' => $clientHintsInconsistency['clientHintsInconsistencyScore'],
              'subnetScore' => $subnetScore['subnetScore'],
+             'botnetClusterScore' => $botnetCluster['botnetClusterScore'],
          ]);
  
          // Sauvegarder l'état mis à jour de l'appareil dans le store
@@ -745,6 +751,26 @@
                      $this->log('High suspicion score detected - overriding valid ticket to re-issue challenge', ['finalScore' => $finalScore, 'deviceId' => $deviceId]);
                  }
  
+                 // --- AJOUT: Limiteur de débit (Token Bucket) ---
+                 $rateLimitPassed = ChallengeUtils::checkChallengeRateLimit($context->clientIp);
+                 if (!$rateLimitPassed) {
+                     $this->log('Challenge rate limit exceeded - blocking with 429', ['clientIp' => $context->clientIp]);
+                     $decision = [
+                         'action' => 'block',
+                         'status' => 429,
+                         'body' => 'Too Many Requests',
+                         'score' => $finalScore,
+                         'vector' => $suspicionVector
+                     ];
+                     if ($this->dryRun) {
+                         $this->log("[Dry Run] Intended action: {$decision['action']}", ['score' => $decision['score']]);
+                         $decision['intendedAction'] = $decision['action'];
+                         $decision['action'] = 'next';
+                         unset($decision['status'], $decision['body']);
+                     }
+                     return $decision;
+                 }
+ 
                  $decision = ['action' => 'challenge', 'score' => $finalScore, 'vector' => $suspicionVector, 'status' => 403];
  
                  if ($this->dryRun) {
@@ -793,8 +819,16 @@
                                  ]
                              ]
                          ];
-                         $decision['body'] = $challengePayload;
-                         return $decision;
+                         if ($isApiRequest) {
+                             $decision['body'] = $challengePayload;
+                             return $decision;
+                         } else {
+                             $html = '<html><body><script>';
+                             $html .= 'window.location.href = "' . $context->path . '?pow_type=useful_work_task&pow_nonce=' . $nonce . '&pow_problem_id=' . $work['problemId'] . '&pow_solution_work_result=" + encodeURIComponent(JSON.stringify({"solution": [], "energy": 0}));';
+                             $html .= '</script></body></html>';
+                             $decision['body'] = $html;
+                             return $decision;
+                         }
                      } else {
                          // This case handles when uPoW is enabled but dispatching a task fails (e.g., config not found).
                          // We log it and fall through to the standard PoW challenge.

package/src/php/Optimization/FunctionRegistry.php

@@ -1,63 +1,64 @@
-<?php
-
-declare(strict_types=1);
-
-namespace Anonympins\Fingerprint\Optimization;
-
-/**
- * Registre pour exposer de manière contrôlée les fonctions de la bibliothèque d'optimisation.
- */
-class FunctionRegistry
-{
-    /** @var array<string, callable> */
-    private static array $functions = [];
-
-    /**
-     * Initialise le registre avec les fonctions disponibles.
-     */
-    private static function initialize(): void
-    {
-        if (empty(self::$functions)) {
-            // Fonctions de "Scoring"
-            self::$functions['tsp.calculateEnergy'] = [OptimizationUtils::class, 'evaluatePathDistance'];
-            self::$functions['portfolio.calculateMetrics'] = [OptimizationOperators::class, 'createPortfolioAllocator'];
-
-            // Fonctions de "Résolution"
-            self::$functions['tsp.solve'] = [OptimizationOperators::class, 'solveTSP'];
-            self::$functions['portfolio.solve'] = [OptimizationOperators::class, 'solvePortfolio'];
-            self::$functions['fraud.solve'] = [OptimizationOperators::class, 'solveFraudDetection'];
-            self::$functions['facility.solve'] = [OptimizationOperators::class, 'solveFacilityLocation'];
-            self::$functions['security.tune'] = [OptimizationOperators::class, 'solveFullSecurityTuning'];
-        }
-    }
-
-    /**
-     * Récupère une fonction depuis le registre.
-     */
-    public static function get(string $name): ?callable
-    {
-        self::initialize();
-        return self::$functions[$name] ?? null;
-    }
-    /**
-     * Enregistre une nouvelle fonction. Principalement pour les tests.
-     * @internal
-     * @param string $name
-     * @param callable $function
-     * @return void
-     */
-    public static function register(string $name, callable $function): void
-    {
-        self::initialize();
-        self::$functions[$name] = $function;
-    }
-
-    /**
-     * Réinitialise le registre. Uniquement pour les tests.
-     * @internal
-     */
-    public static function __internal_resetRegistry(): void
-    {
-        self::$functions = [];
-    }
+<?php
+
+declare(strict_types=1);
+
+namespace Anonympins\Fingerprint\Optimization;
+
+/**
+ * Registre pour exposer de manière contrôlée les fonctions de la bibliothèque d'optimisation.
+ */
+class FunctionRegistry
+{
+    /** @var array<string, callable> */
+    private static array $functions = [];
+
+    /**
+     * Initialise le registre avec les fonctions disponibles.
+     */
+    private static function initialize(): void
+    {
+        if (empty(self::$functions)) {
+            // Fonctions de "Scoring"
+            self::$functions['tsp.calculateEnergy'] = [OptimizationUtils::class, 'evaluatePathDistance'];
+            self::$functions['portfolio.calculateMetrics'] = [OptimizationOperators::class, 'createPortfolioAllocator'];
+            self::$functions['facility.calculateEnergy'] = [OptimizationOperators::class, 'evaluateFacilityLocation'];
+
+            // Fonctions de "Résolution"
+            self::$functions['tsp.solve'] = [OptimizationOperators::class, 'solveTSP'];
+            self::$functions['portfolio.solve'] = [OptimizationOperators::class, 'solvePortfolio'];
+            self::$functions['fraud.solve'] = [OptimizationOperators::class, 'solveFraudDetection'];
+            self::$functions['facility.solve'] = [OptimizationOperators::class, 'solveFacilityLocation'];
+            self::$functions['security.tune'] = [OptimizationOperators::class, 'solveFullSecurityTuning'];
+        }
+    }
+
+    /**
+     * Récupère une fonction depuis le registre.
+     */
+    public static function get(string $name): ?callable
+    {
+        self::initialize();
+        return self::$functions[$name] ?? null;
+    }
+    /**
+     * Enregistre une nouvelle fonction. Principalement pour les tests.
+     * @internal
+     * @param string $name
+     * @param callable $function
+     * @return void
+     */
+    public static function register(string $name, callable $function): void
+    {
+        self::initialize();
+        self::$functions[$name] = $function;
+    }
+
+    /**
+     * Réinitialise le registre. Uniquement pour les tests.
+     * @internal
+     */
+    public static function __internal_resetRegistry(): void
+    {
+        self::$functions = [];
+    }
 }