Autorización incorrecta

La autenticación demuestra quién es usted. La autorización determina qué se le permite hacer.

Una autorización defectuosa significa que el sistema permite a los usuarios hacer o ver cosas que no deberían.

BOLA significa Broken Object Level Authorization.

Es el principal riesgo de las API: una API comprueba que ha iniciado sesión, pero no que el objeto específico que solicita realmente le pertenece.

Imagine que su cuenta corresponde al usuario 100.

Si cambia el ID y el servidor sigue respondiendo, acaba de leer los pedidos de otra persona. Eso es BOLA.

A menudo, los desarrolladores confían en el ID incluido en la solicitud.

Olvidan verificar que el usuario que ha iniciado sesión realmente es el propietario de ese objeto. La solución consiste en comprobar la propiedad en cada solicitud.

Otro fallo es BFLA: Broken Function Level Authorization.

Un usuario normal invoca una acción exclusiva de administradores y funciona porque el endpoint nunca comprueba el rol del usuario.

Considere una ruta de administración:

Si un usuario normal puede invocarla correctamente, la API no ha aplicado el control de acceso basado en roles.

Algunas API asignan ciegamente los campos de la solicitud a un registro.

Un usuario podría añadir un campo como role=admin a una actualización de perfil y elevar silenciosamente sus propios privilegios.

Nunca dependa del cliente para ocultar botones o campos.

El servidor debe hacer cumplir todas las decisiones de autorización, porque los atacantes envían solicitudes directamente y omiten por completo la interfaz de usuario.

Los ID secuenciales facilitan la explotación de BOLA.

Usar identificadores aleatorios como un UUID no sustituye las comprobaciones de autorización, pero elimina el sencillo ataque de adivinar el número siguiente.

Una API segura deniega por defecto.

El acceso solo se permite cuando una regla explícita lo concede. De este modo, una comprobación olvidada provoca un rechazo seguro en lugar de filtrar datos.

Los errores de autorización son fáciles de ocultar, así que debe probarlos deliberadamente.

Intente acceder a los datos de otro usuario con su propio token. Si funciona, habrá encontrado un fallo grave que debe corregir.

Una API confirma que ha iniciado sesión, pero devuelve el registro de otro usuario cuando cambia el ID. ¿Qué fallo es este?

Una autorización defectuosa permite a los usuarios acceder a lo que no deberían. Preste atención a BOLA, BFLA y la asignación masiva.

Haga cumplir las comprobaciones de propiedad y de roles en el servidor, deniegue por defecto y pruebe la autorización deliberadamente.