การอนุญาตที่มีข้อบกพร่อง

การยืนยันตัวตนพิสูจน์ว่าคุณเป็นใคร ส่วนการอนุญาตสิทธิ์ตัดสินว่าคุณได้รับอนุญาตให้ทำอะไรได้บ้าง

การอนุญาตสิทธิ์ที่ผิดพลาดหมายถึงระบบอนุญาตให้ผู้ใช้ทำหรือดูสิ่งที่ไม่ควรทำหรือดู

BOLAย่อมาจากการอนุญาตสิทธิ์ระดับออบเจ็กต์ที่ผิดพลาด

นี่คือความเสี่ยงสูงสุดของเอพีไอ: เอพีไอตรวจสอบว่าคุณเข้าสู่ระบบแล้ว แต่ไม่ได้ตรวจสอบว่าออบเจ็กต์เฉพาะที่คุณขอนั้นเป็นของคุณจริงหรือไม่

ลองจินตนาการว่าบัญชีของคุณเป็นผู้ใช้หมายเลข 100

หากคุณเปลี่ยน ID แล้วเซิร์ฟเวอร์ยังคงตอบกลับ แสดงว่าคุณเพิ่งอ่านคำสั่งซื้อของผู้อื่น นั่นคือ BOLA

นักพัฒนามักเชื่อถือ ID ที่อยู่ในคำขอ

พวกเขาลืมตรวจสอบว่าผู้ใช้ที่เข้าสู่ระบบเป็นเจ้าของออบเจ็กต์นั้นจริงหรือไม่ วิธีแก้คือการตรวจสอบความเป็นเจ้าของในทุกคำขอ

ข้อบกพร่องอีกประเภทหนึ่งคือBFLA: การอนุญาตสิทธิ์ระดับฟังก์ชันที่ผิดพลาด

ผู้ใช้ทั่วไปเรียกใช้การดำเนินการที่สงวนไว้สำหรับผู้ดูแลระบบได้สำเร็จ เพราะจุดปลายทางไม่เคยตรวจสอบบทบาทของผู้ใช้

ลองพิจารณาเส้นทางของผู้ดูแลระบบ:

หากผู้ใช้ทั่วไปเรียกใช้ได้สำเร็จ เอพีไอก็ไม่ได้บังคับใช้การเข้าถึงตามบทบาท

เอพีไอบางรายการจับคู่ช่องข้อมูลในคำขอเข้ากับระเบียนโดยไม่ตรวจสอบอย่างรอบคอบ

ผู้ใช้อาจเพิ่มช่องข้อมูลอย่าง role=admin ลงในการอัปเดตโปรไฟล์ แล้วแอบยกระดับสิทธิ์ของตนเอง

อย่าพึ่งพาไคลเอนต์ในการซ่อนปุ่มหรือช่องข้อมูล

เซิร์ฟเวอร์ต้องบังคับใช้การตัดสินใจเกี่ยวกับการอนุญาตสิทธิ์ทุกครั้ง เพราะผู้โจมตีส่งคำขอโดยตรงและข้ามส่วนติดต่อผู้ใช้ของคุณไปทั้งหมด

ID แบบเรียงลำดับทำให้ใช้ประโยชน์จาก BOLA ได้ง่าย

การใช้ตัวระบุแบบสุ่ม เช่น UUID ไม่ได้ทดแทนการตรวจสอบการอนุญาตสิทธิ์ แต่ช่วยตัดการโจมตีแบบเดาตัวเลขถัดไปอย่างง่ายออกไป

เอพีไอที่ปลอดภัยจะปฏิเสธเป็นค่าเริ่มต้น

จะอนุญาตให้เข้าถึงได้ก็ต่อเมื่อมีกฎที่ระบุไว้อย่างชัดเจนมอบสิทธิ์ให้ วิธีนี้ทำให้การตรวจสอบที่ถูกลืมส่งผลเป็นการปฏิเสธการเข้าถึง แทนที่จะเปิดเผยข้อมูล

ข้อบกพร่องด้านการอนุญาตสิทธิ์ซ่อนอยู่ได้ง่าย จึงควรทดสอบโดยตั้งใจ

ลองเข้าถึงข้อมูลของผู้ใช้อื่นด้วยโทเค็นของคุณเอง หากทำได้ แสดงว่าคุณพบข้อบกพร่องร้ายแรงที่ต้องแก้ไข

เอพีไอยืนยันว่าคุณเข้าสู่ระบบแล้ว แต่ส่งคืนระเบียนของผู้ใช้อื่นเมื่อคุณเปลี่ยน ID ข้อบกพร่องนี้เรียกว่าอะไร

การอนุญาตสิทธิ์ที่ผิดพลาดทำให้ผู้ใช้เข้าถึงสิ่งที่ไม่ควรเข้าถึงได้ โปรดระวังBOLA BFLA และการกำหนดค่าจำนวนมาก

บังคับใช้การตรวจสอบความเป็นเจ้าของและบทบาทที่เซิร์ฟเวอร์ ปฏิเสธเป็นค่าเริ่มต้น และทดสอบการอนุญาตสิทธิ์อย่างตั้งใจ