Нарушение авторизации

Аутентификация подтверждает, кто Вы. Авторизация определяет, что Вам разрешено делать.

Нарушенная авторизация означает, что система позволяет пользователям делать то, чего им делать нельзя, или видеть то, чего им видеть нельзя.

BOLA означает нарушение авторизации на уровне объектов.

Это главный риск API: API проверяет, вошли ли Вы в систему, но не проверяет, действительно ли конкретный объект, к которому Вы обращаетесь, принадлежит Вам.

Представьте, что номер Вашей учётной записи — 100.

Если Вы измените ID, а сервер всё равно ответит, значит, Вы только что прочитали заказы другого человека. Это BOLA.

Разработчики часто доверяют идентификатору из запроса.

Они забывают проверить, действительно ли вошедший в систему пользователь владеет этим объектом. Решение — проверять право владения в каждом запросе.

Ещё один недостаток — BFLA: нарушение авторизации на уровне функций.

Обычный пользователь вызывает действие, доступное только администратору, и оно выполняется, потому что конечная точка не проверяет роль пользователя.

Рассмотрим маршрут администратора:

Если обычный пользователь может успешно вызвать его, API не обеспечил соблюдение правил доступа на основе ролей.

Некоторые API без проверки сопоставляют поля запроса с записью.

Пользователь может добавить поле вроде role=admin к обновлению профиля и незаметно повысить собственные привилегии.

Никогда не полагайтесь на клиентскую часть, которая скрывает кнопки или поля.

Сервер должен обеспечивать выполнение каждого решения об авторизации, поскольку злоумышленники отправляют запросы напрямую, полностью обходя Ваш интерфейс.

Последовательно возрастающие идентификаторы упрощают эксплуатацию BOLA.

Использование случайных идентификаторов, например UUID, не заменяет проверки авторизации, но устраняет простую атаку перебором следующего числа.

Безопасный API отказывает в доступе по умолчанию.

Доступ разрешается только тогда, когда его предоставляет явное правило. Поэтому забытая проверка приводит к отказу, а не к утечке данных.

Ошибки авторизации легко не заметить, поэтому намеренно проверяйте её.

Попробуйте получить доступ к данным другого пользователя с помощью собственного токена. Если это сработает, Вы обнаружили серьёзную уязвимость, которую необходимо устранить.

Нарушенная авторизация позволяет пользователям получать доступ к тому, к чему они не должны иметь доступа. Обращайте внимание на BOLA, BFLA и массовое присваивание.

Проверяйте право владения и роли на сервере, запрещайте доступ по умолчанию и целенаправленно проверяйте авторизацию.