@anonympins/fingerprint 0.4.3 → 0.4.4

package/src/php/FingerprintClient.php

@@ -1,132 +1,132 @@
-<?php
-
-declare(strict_types=1);
-
-namespace Anonympins\Fingerprint;
-use Anonympins\Fingerprint\Config\SecurityProfiles;
-
-/**
- * FingerprintClient - Wrapper PHP pour la bibliothèque de fingerprinting côté client.
- *
- * Cette classe facilite l'intégration de la bibliothèque JavaScript `fingerprint.client.js`
- * dans une application PHP. Elle gère l'injection sécurisée du script et la création
- * de "honeypots" (pièges à bots) dans les formulaires.
- */
-class FingerprintClient
-{
-    /**
-     * @var string Le chemin vers le fichier de la bibliothèque client JavaScript.
-     */
-    private string $clientScriptPath;
-
-    /**
-     * @var array La configuration à passer à la fonction `initializeClient` de la bibliothèque JS.
-     */
-    private array $clientConfig;
-
-    /**
-     * @var string|null Un nonce cryptographique pour la Content Security Policy (CSP).
-     */
-    private ?string $nonce;
-
-    /**
-     * Constructeur de la classe.
-     *
-     * @param string $clientScriptPath Le chemin d'accès web au fichier `fingerprint.client.js`.
-     * @param array $clientConfig La configuration pour la bibliothèque client (souris, frappes, honeypots, etc.).
-     */
-    public function __construct(string $clientScriptPath, array $clientConfig = [])
-    {
-        $this->clientScriptPath = $clientScriptPath;
-
-        $defaultConfig = [
-            'mouse' => true,
-            'keystrokes' => true,
-            'clicks' => true,
-            'honeypots' => [],
-            'fetch' => [
-                'handleChallenges' => true,
-                'probationaryTtl' => 30000, // 30 seconds
-            ],
-            'wasm' => true, // Activer la tentative de chargement du module WASM
-            'wasmPath' => '/fp.js' // Chemin vers le script de chargement WASM
-        ];
-
-        // Utiliser une fusion profonde pour permettre de surcharger des sous-clés
-        $this->clientConfig = SecurityProfiles::deepMerge($defaultConfig, $clientConfig);
-
-        try {
-            // Génère un nonce pour CSP si possible, pour une sécurité renforcée.
-            $this->nonce = bin2hex(random_bytes(16));
-        } catch (\Exception $e) {
-            $this->nonce = null;
-        }
-    }
-
-    /**
-     * Génère un champ de formulaire "honeypot" caché.
-     * Les bots le rempliront, mais il sera invisible pour les humains.
-     *
-     * @param string $fieldName Le nom du champ (doit correspondre à la configuration client).
-     * @return string Le code HTML du champ honeypot.
-     */
-    public function generateHoneypotField(string $fieldName): string
-    {
-        // Ajoute le champ à la configuration pour que le script client le surveille.
-        if (!in_array($fieldName, $this->clientConfig['honeypots'])) {
-            $this->clientConfig['honeypots'][] = $fieldName;
-        }
-
-        // Styles CSS pour cacher le champ de manière robuste.
-        $styles = 'position:absolute; left:-9999px; top:-9999px; opacity:0;';
-
-        return '<div style="' . $styles . '" aria-hidden="true">'
-            . '<label for="' . htmlspecialchars($fieldName) . '">Ne pas remplir ce champ</label>'
-            . '<input type="text" id="' . htmlspecialchars($fieldName) . '" name="' . htmlspecialchars($fieldName) . '" tabindex="-1" autocomplete="off">'
-            . '</div>';
-    }
-
-    /**
-     * Génère le bloc de script complet à inclure dans une page HTML.
-     *
-     * @return string Le code HTML des balises <script>.
-     */
-    public function getScriptTag(): string
-    {
-        $configJson = json_encode($this->clientConfig);
-        $nonceAttr = $this->nonce ? ' nonce="' . $this->nonce . '"' : '';
-
-        // Le script d'initialisation qui sera inclus dans la page.
-        $initScript = <<<JS
-document.addEventListener('DOMContentLoaded', function() {
-    const config = {$configJson};
-    if (window.ClientLibrary) {
-        if (config.wasmPath) {
-            const wasmScript = document.createElement('script');
-            wasmScript.src = config.wasmPath;
-            wasmScript.async = true;
-            wasmScript.nonce = '{$this->nonce}';
-            document.head.appendChild(wasmScript);
-        }
-
-        window.ClientLibrary.initializeClient(config);
-    } else {
-        console.error('Fingerprint client library not loaded.');
-    }
-});
-JS;
-
-        // On combine le chargement de la bibliothèque et le script d'initialisation.
-        return '<script src="' . htmlspecialchars($this->clientScriptPath) . '"' . $nonceAttr . '></script>'
-            . '<script' . $nonceAttr . '>' . $initScript . '</script>';
-    }
-
-    /**
-     * Retourne le nonce généré pour pouvoir l'utiliser dans les en-têtes CSP.
-     * @return string|null
-     */
-    public function getNonce(): ?string
-    {
-        return $this->nonce;
-    }
+<?php
+
+declare(strict_types=1);
+
+namespace Anonympins\Fingerprint;
+use Anonympins\Fingerprint\Config\SecurityProfiles;
+
+/**
+ * FingerprintClient - Wrapper PHP pour la bibliothèque de fingerprinting côté client.
+ *
+ * Cette classe facilite l'intégration de la bibliothèque JavaScript `fingerprint.client.js`
+ * dans une application PHP. Elle gère l'injection sécurisée du script et la création
+ * de "honeypots" (pièges à bots) dans les formulaires.
+ */
+class FingerprintClient
+{
+    /**
+     * @var string Le chemin vers le fichier de la bibliothèque client JavaScript.
+     */
+    private string $clientScriptPath;
+
+    /**
+     * @var array La configuration à passer à la fonction `initializeClient` de la bibliothèque JS.
+     */
+    private array $clientConfig;
+
+    /**
+     * @var string|null Un nonce cryptographique pour la Content Security Policy (CSP).
+     */
+    private ?string $nonce;
+
+    /**
+     * Constructeur de la classe.
+     *
+     * @param string $clientScriptPath Le chemin d'accès web au fichier `fingerprint.client.js`.
+     * @param array $clientConfig La configuration pour la bibliothèque client (souris, frappes, honeypots, etc.).
+     */
+    public function __construct(string $clientScriptPath, array $clientConfig = [])
+    {
+        $this->clientScriptPath = $clientScriptPath;
+
+        $defaultConfig = [
+            'mouse' => true,
+            'keystrokes' => true,
+            'clicks' => true,
+            'honeypots' => [],
+            'fetch' => [
+                'handleChallenges' => true,
+                'probationaryTtl' => 30000, // 30 seconds
+            ],
+            'wasm' => true, // Activer la tentative de chargement du module WASM
+            'wasmPath' => '/fp.js' // Chemin vers le script de chargement WASM
+        ];
+
+        // Utiliser une fusion profonde pour permettre de surcharger des sous-clés
+        $this->clientConfig = SecurityProfiles::deepMerge($defaultConfig, $clientConfig);
+
+        try {
+            // Génère un nonce pour CSP si possible, pour une sécurité renforcée.
+            $this->nonce = bin2hex(random_bytes(16));
+        } catch (\Exception $e) {
+            $this->nonce = null;
+        }
+    }
+
+    /**
+     * Génère un champ de formulaire "honeypot" caché.
+     * Les bots le rempliront, mais il sera invisible pour les humains.
+     *
+     * @param string $fieldName Le nom du champ (doit correspondre à la configuration client).
+     * @return string Le code HTML du champ honeypot.
+     */
+    public function generateHoneypotField(string $fieldName): string
+    {
+        // Ajoute le champ à la configuration pour que le script client le surveille.
+        if (!in_array($fieldName, $this->clientConfig['honeypots'])) {
+            $this->clientConfig['honeypots'][] = $fieldName;
+        }
+
+        // Styles CSS pour cacher le champ de manière robuste.
+        $styles = 'position:absolute; left:-9999px; top:-9999px; transform:scale(0); opacity:0; pointer-events:none;';
+
+        return '<div style="' . $styles . '" aria-hidden="true">'
+            . '<label for="' . htmlspecialchars($fieldName) . '">' . $fieldName . '</label>'
+            . '<input type="text" id="' . htmlspecialchars($fieldName) . '" name="' . htmlspecialchars($fieldName) . '" tabindex="-1" autocomplete="off">'
+            . '</div>';
+    }
+
+    /**
+     * Génère le bloc de script complet à inclure dans une page HTML.
+     *
+     * @return string Le code HTML des balises <script>.
+     */
+    public function getScriptTag(): string
+    {
+        $configJson = json_encode($this->clientConfig);
+        $nonceAttr = $this->nonce ? ' nonce="' . $this->nonce . '"' : '';
+
+        // Le script d'initialisation qui sera inclus dans la page.
+        $initScript = <<<JS
+document.addEventListener('DOMContentLoaded', function() {
+    const config = {$configJson};
+    if (window.ClientLibrary) {
+        if (config.wasmPath) {
+            const wasmScript = document.createElement('script');
+            wasmScript.src = config.wasmPath;
+            wasmScript.async = true;
+            wasmScript.nonce = '{$this->nonce}';
+            document.head.appendChild(wasmScript);
+        }
+
+        window.ClientLibrary.initializeClient(config);
+    } else {
+        console.error('Fingerprint client library not loaded.');
+    }
+});
+JS;
+
+        // On combine le chargement de la bibliothèque et le script d'initialisation.
+        return '<script src="' . htmlspecialchars($this->clientScriptPath) . '"' . $nonceAttr . '></script>'
+            . '<script' . $nonceAttr . '>' . $initScript . '</script>';
+    }
+
+    /**
+     * Retourne le nonce généré pour pouvoir l'utiliser dans les en-têtes CSP.
+     * @return string|null
+     */
+    public function getNonce(): ?string
+    {
+        return $this->nonce;
+    }
 }

package/src/php/FingerprintEngine.php

@@ -417,6 +417,11 @@
          // Score d'incohérence des Client-Hints
          $clientHintsInconsistency = RequestUtils::getClientHintsInconsistencyScore($context);
 
+         // Score de similarité globale de l'empreinte (Clustering Botnet)
+         $stableFp = RequestUtils::extractStablePart($currentDeviceHash);
+         $stableFpHash = FingerprintBuilder::cyrb53($stableFp);
+         $botnetCluster = RequestUtils::getBotnetClusterScore($context, $stableFpHash);
+
          // NOUVEAU: Score de réputation du sous-réseau IP
          $subnetScore = RequestUtils::getSubnetScore($context, $deviceId);
 
@@ -437,6 +442,7 @@
              'threatIntelScore' => $threatIntel['threatIntelScore'],
              'clientHintsInconsistencyScore' => $clientHintsInconsistency['clientHintsInconsistencyScore'],
              'subnetScore' => $subnetScore['subnetScore'],
+             'botnetClusterScore' => $botnetCluster['botnetClusterScore'],
          ]);
  
          // Sauvegarder l'état mis à jour de l'appareil dans le store
@@ -745,6 +751,26 @@
                      $this->log('High suspicion score detected - overriding valid ticket to re-issue challenge', ['finalScore' => $finalScore, 'deviceId' => $deviceId]);
                  }
  
+                 // --- AJOUT: Limiteur de débit (Token Bucket) ---
+                 $rateLimitPassed = ChallengeUtils::checkChallengeRateLimit($context->clientIp);
+                 if (!$rateLimitPassed) {
+                     $this->log('Challenge rate limit exceeded - blocking with 429', ['clientIp' => $context->clientIp]);
+                     $decision = [
+                         'action' => 'block',
+                         'status' => 429,
+                         'body' => 'Too Many Requests',
+                         'score' => $finalScore,
+                         'vector' => $suspicionVector
+                     ];
+                     if ($this->dryRun) {
+                         $this->log("[Dry Run] Intended action: {$decision['action']}", ['score' => $decision['score']]);
+                         $decision['intendedAction'] = $decision['action'];
+                         $decision['action'] = 'next';
+                         unset($decision['status'], $decision['body']);
+                     }
+                     return $decision;
+                 }
+ 
                  $decision = ['action' => 'challenge', 'score' => $finalScore, 'vector' => $suspicionVector, 'status' => 403];
  
                  if ($this->dryRun) {

package/src/php/RequestContext.php

@@ -1,91 +1,91 @@
-<?php
-
-declare(strict_types=1);
-
-namespace Anonympins\Fingerprint;
-
-/**
- * Représente le contexte d'une requête HTTP, fournissant un accès unifié
- * aux informations nécessaires pour l'analyse de l'empreinte.
- * Cette classe est conçue pour être créée à partir d'un objet de requête
- * standard (ex: PSR-7, Symfony, Laravel).
- */
-class RequestContext
-{
-    public string $clientIp;
-    public string $path;
-    /** @var array<string, string> */
-    public array $headers;
-    /** @var array<string, mixed> */
-    public array $query;
-    /** @var array<string, mixed>|object|null */
-    public $body;
-    /** @var array<string, string> */
-    public array $cookies;
-    public ?string $httpVersion;
-    public int $requestTimestamp;
-
-    /** @var ?array{type: string, name: string} */
-    public ?array $graphqlOperation = null;
-
-    /** @var ?array<string, mixed> */
-    public ?array $newCookieForResponse = null;
-
-    // Propriétés spécifiques qui peuvent être fournies par un proxy inverse
-    public ?string $ja3;
-    public ?string $ja4;
-    public ?string $ja4s;
-    public ?string $ja4h;
-    public ?string $http2Fingerprint;
-    public ?string $tcpFingerprint;
-
-    /**
-     * @param string $clientIp
-     * @param string $path
-     * @param array<string, string> $headers
-     * @param array<string, mixed> $query
-     * @param array<string, mixed>|object|null $body
-     * @param array<string, string> $cookies
-     * @param string|null $httpVersion
-     * @param int|null $requestTimestamp
-     */
-    public function __construct(
-        string $clientIp,
-        string $path,
-        array $headers,
-        array $query,
-        $body,
-        array $cookies,
-        ?string $httpVersion,
-        ?int $requestTimestamp = null
-    ) {
-        $this->clientIp = $clientIp;
-        $this->path = $path;
-        // Normaliser les en-têtes en minuscules pour un accès cohérent
-        $this->headers = array_change_key_case($headers, CASE_LOWER);
-        $this->query = $query;
-        $this->body = $body;
-        $this->cookies = $cookies;
-        $this->httpVersion = $httpVersion;
-        $this->requestTimestamp = $requestTimestamp ?? (int)(microtime(true) * 1000);
-
-        // Extraire les empreintes TLS/HTTP2/TCP si elles sont fournies par les en-têtes
-        $this->ja3 = $this->headers['x-ja3-hash'] ?? null;
-        $this->ja4 = $this->headers['x-ja4-hash'] ?? null;
-        $this->ja4s = $this->headers['x-ja4s-hash'] ?? null;
-        $this->ja4h = $this->headers['x-ja4h-hash'] ?? null;
-        $this->http2Fingerprint = $this->headers['x-http2-fingerprint'] ?? null;
-        $this->tcpFingerprint = $this->headers['x-tcp-fingerprint'] ?? null;
-    }
-    /**
-     * Récupère la valeur d'un en-tête HTTP de manière insensible à la casse.
-     *
-     * @param string $name Le nom de l'en-tête.
-     * @return string|null La valeur de l'en-tête ou null si non trouvé.
-     */
-
-    public function getHeader(string $name): ?string
-    {
-        return $this->headers[strtolower($name)] ?? null;
-    }
+<?php
+
+declare(strict_types=1);
+
+namespace Anonympins\Fingerprint;
+
+/**
+ * Représente le contexte d'une requête HTTP, fournissant un accès unifié
+ * aux informations nécessaires pour l'analyse de l'empreinte.
+ * Cette classe est conçue pour être créée à partir d'un objet de requête
+ * standard (ex: PSR-7, Symfony, Laravel).
+ */
+class RequestContext
+{
+    public string $clientIp = '';
+    public string $path = '';
+    /** @var array<string, string> */
+    public array $headers = [];
+    /** @var array<string, mixed> */
+    public array $query = [];
+    /** @var array<string, mixed>|object|null */
+    public $body = null;
+    /** @var array<string, string> */
+    public array $cookies = [];
+    public ?string $httpVersion = null;
+    public int $requestTimestamp = 0;
+
+    /** @var ?array{type: string, name: string} */
+    public ?array $graphqlOperation = null;
+
+    /** @var ?array<string, mixed> */
+    public ?array $newCookieForResponse = null;
+
+    // Propriétés spécifiques qui peuvent être fournies par un proxy inverse
+    public ?string $ja3 = null;
+    public ?string $ja4 = null;
+    public ?string $ja4s = null;
+    public ?string $ja4h = null;
+    public ?string $http2Fingerprint = null;
+    public ?string $tcpFingerprint = null;
+
+    /**
+     * @param string $clientIp
+     * @param string $path
+     * @param array<string, string> $headers
+     * @param array<string, mixed> $query
+     * @param array<string, mixed>|object|null $body
+     * @param array<string, string> $cookies
+     * @param string|null $httpVersion
+     * @param int|null $requestTimestamp
+     */
+    public function __construct(
+        string $clientIp,
+        string $path,
+        array $headers,
+        array $query,
+        $body,
+        array $cookies,
+        ?string $httpVersion,
+        ?int $requestTimestamp = null
+    ) {
+        $this->clientIp = $clientIp;
+        $this->path = $path;
+        // Normaliser les en-têtes en minuscules pour un accès cohérent
+        $this->headers = array_change_key_case($headers, CASE_LOWER);
+        $this->query = $query;
+        $this->body = $body;
+        $this->cookies = $cookies;
+        $this->httpVersion = $httpVersion;
+        $this->requestTimestamp = $requestTimestamp ?? (int)(microtime(true) * 1000);
+
+        // Extraire les empreintes TLS/HTTP2/TCP si elles sont fournies par les en-têtes
+        $this->ja3 = $this->headers['x-ja3-hash'] ?? null;
+        $this->ja4 = $this->headers['x-ja4-hash'] ?? null;
+        $this->ja4s = $this->headers['x-ja4s-hash'] ?? null;
+        $this->ja4h = $this->headers['x-ja4h-hash'] ?? null;
+        $this->http2Fingerprint = $this->headers['x-http2-fingerprint'] ?? null;
+        $this->tcpFingerprint = $this->headers['x-tcp-fingerprint'] ?? null;
+    }
+    /**
+     * Récupère la valeur d'un en-tête HTTP de manière insensible à la casse.
+     *
+     * @param string $name Le nom de l'en-tête.
+     * @return string|null La valeur de l'en-tête ou null si non trouvé.
+     */
+
+    public function getHeader(string $name): ?string
+    {
+        return $this->headers[strtolower($name)] ?? null;
+    }
 }

package/src/php/Store/IStore.php

@@ -1,42 +1,42 @@
-<?php
-
-declare(strict_types=1);
-
-namespace Anonympins\Fingerprint\Store;
-
-/**
- * Interface pour un système de stockage persistant.
- * Utilisé pour stocker les données des appareils, les secrets des challenges, etc.
- */
-interface IStore
-{
-    /**
-     * Récupère une valeur associée à une clé.
-     * @param string $key
-     * @return mixed|null
-     */
-    public function get(string $key);
-
-    /**
-     * Stocke une valeur associée à une clé, avec une durée de vie optionnelle.
-     * @param string $key
-     * @param mixed $value
-     * @param int|null $ttl Durée de vie en secondes.
-     * @return void
-     */
-    public function set(string $key, $value, ?int $ttl = null): void;
-
-    /**
-     * Vérifie si une clé existe dans le stockage.
-     * @param string $key
-     * @return bool
-     */
-    public function has(string $key): bool;
-
-    /**
-     * Supprime une clé du stockage.
-     * @param string $key
-     * @return void
-     */
-    public function delete(string $key): void;
+<?php
+
+declare(strict_types=1);
+
+namespace Anonympins\Fingerprint\Store;
+
+/**
+ * Interface pour un système de stockage persistant.
+ * Utilisé pour stocker les données des appareils, les secrets des challenges, etc.
+ */
+interface IStore
+{
+    /**
+     * Récupère une valeur associée à une clé.
+     * @param string $key
+     * @return mixed|null
+     */
+    public function get(string $key);
+
+    /**
+     * Stocke une valeur associée à une clé, avec une durée de vie optionnelle.
+     * @param string $key
+     * @param mixed $value
+     * @param int|null $ttl Durée de vie en secondes.
+     * @return void
+     */
+    public function set(string $key, $value, ?int $ttl = null): void;
+
+    /**
+     * Vérifie si une clé existe dans le stockage.
+     * @param string $key
+     * @return bool
+     */
+    public function has(string $key): bool;
+
+    /**
+     * Supprime une clé du stockage.
+     * @param string $key
+     * @return void
+     */
+    public function delete(string $key): void;
 }