Błędna autoryzacja

Uwierzytelnianie potwierdza, kim jesteś. Autoryzacja określa, co wolno ci robić.

Błędna autoryzacja oznacza, że system pozwala użytkownikom wykonywać działania lub wyświetlać dane, do których nie powinni mieć dostępu.

BOLA oznacza Broken Object Level Authorization.

To najpoważniejsze zagrożenie dla API: API sprawdza, czy użytkownik jest zalogowany, ale nie sprawdza, czy żądany obiekt rzeczywiście do niego należy.

Załóżmy, że konto ma identyfikator użytkownika 100.

Jeśli po zmianie identyfikatora serwer nadal odpowiada, udało się odczytać zamówienia innej osoby. To właśnie BOLA.

Programiści często ufają identyfikatorowi zawartemu w żądaniu.

Zapominają sprawdzić, czy zalogowany użytkownik rzeczywiście jest właścicielem tego obiektu. Rozwiązaniem jest sprawdzanie własności przy każdym żądaniu.

Inną wadą jest BFLA: Broken Function Level Authorization.

Zwykły użytkownik wywołuje działanie przeznaczone tylko dla administratora i działanie się wykonuje, ponieważ endpoint nie sprawdza roli użytkownika.

Rozważmy trasę administratora:

Jeśli zwykły użytkownik może pomyślnie ją wywołać, API nie wymusiło dostępu opartego na rolach.

Niektóre API bez sprawdzania mapują pola żądania na rekord.

Użytkownik może dodać pole takie jak role=admin do aktualizacji profilu i po cichu podnieść własne uprawnienia.

Nie wolno polegać na kliencie, który ukrywa przyciski lub pola.

Serwer musi wymuszać każdą decyzję dotyczącą autoryzacji, ponieważ atakujący wysyłają żądania bezpośrednio, całkowicie omijając interfejs użytkownika.

Sekwencyjne identyfikatory ułatwiają wykorzystanie BOLA.

Używanie losowych identyfikatorów, takich jak UUID, nie zastępuje kontroli autoryzacji, ale eliminuje prosty atak polegający na odgadnięciu kolejnego numeru.

Bezpieczne API domyślnie odrzuca dostęp.

Dostęp jest dozwolony tylko wtedy, gdy wyraźna reguła na niego zezwala. Dzięki temu pominięta kontrola kończy się odmową dostępu, zamiast ujawnieniem danych.

Błędy autoryzacji łatwo przeoczyć, dlatego należy testować je celowo.

Należy spróbować uzyskać dostęp do danych innego użytkownika za pomocą własnego tokenu. Jeśli się to uda, znaleziono poważną usterkę, którą należy naprawić.

API potwierdza, że użytkownik jest zalogowany, ale po zmianie identyfikatora zwraca rekord innego użytkownika. Jaka to luka?

Błędna autoryzacja pozwala użytkownikom uzyskiwać dostęp do danych i wykonywać działania, do których nie powinni mieć uprawnień. Należy zwracać uwagę na BOLA, BFLA i masowe przypisywanie.

Kontrole własności i ról muszą być wymuszane na serwerze. Należy domyślnie odrzucać dostęp i celowo testować autoryzację.