Bozuk Yetkilendirme

Kimlik doğrulama kim olduğunuzu kanıtlar. Yetkilendirme ise ne yapmanıza izin verildiğine karar verir.

Hatalı yetkilendirme, sistemin kullanıcıların yapmamaları veya görmemeleri gereken şeyleri yapmasına ya da görmesine izin vermesi anlamına gelir.

BOLA, Broken Object Level Authorization ifadesinin kısaltmasıdır.

Bu, en önemli API riskidir: API giriş yaptığınızı denetler, ancak istediğiniz belirli nesnenin gerçekten size ait olup olmadığını denetlemez.

Hesabınızın 100 numaralı kullanıcı olduğunu düşünün.

ID'yi değiştirmenize rağmen sunucu yanıt vermeye devam ederse başka birinin siparişlerini okumuş olursunuz. Buna BOLA denir.

Geliştiriciler çoğu zaman istekteki ID'ye güvenir.

Giriş yapmış kullanıcının gerçekten bu nesnenin sahibi olduğunu doğrulamayı unuturlar. Çözüm, her istekte sahiplik denetimi yapmaktır.

Bir başka kusur da BFLA'dır: Broken Function Level Authorization.

Normal bir kullanıcı yalnızca yöneticilere açık bir işlemi çağırır ve bu işlem gerçekleşir; çünkü uç nokta kullanıcının rolünü hiç denetlemez.

Bir yönetici rotasını düşünün:

Normal bir kullanıcı bunu başarıyla çağırabiliyorsa API, rol tabanlı erişimi uygulayamamış demektir.

Bazı API'ler istek alanlarını bir kayda düşünmeden eşler.

Bir kullanıcı, profil güncellemesine role=admin gibi bir alan ekleyerek kendi ayrıcalıklarını sessizce artırabilir.

Düğmeleri veya alanları gizlemek için istemciye asla güvenmeyin.

Sunucu her yetkilendirme kararını uygulamalıdır; çünkü saldırganlar kullanıcı arayüzünüzü tamamen atlayarak istekleri doğrudan gönderir.

Sıralı ID'ler BOLA'nın kötüye kullanılmasını kolaylaştırır.

UUID gibi rastgele tanımlayıcılar kullanmak yetkilendirme denetimlerinin yerini tutmaz, ancak sıradaki sayıyı tahmin etmeye dayalı basit saldırıyı ortadan kaldırır.

Güvenli bir API varsayılan olarak reddeder.

Erişime yalnızca açık bir kural izin verdiğinde izin verilir. Böylece unutulmuş bir denetim, veri sızdırmak yerine isteği güvenli biçimde reddeder.

Yetkilendirme hataları kolayca gizlenebilir; bu nedenle onları özellikle sınayın.

Kendi belirtecinizi kullanarak başka bir kullanıcının verilerine erişmeyi deneyin. Başarılı olursa düzeltmeniz gereken ciddi bir kusur bulmuşsunuz demektir.

Bir API giriş yaptığınızı doğruluyor ancak ID'yi değiştirdiğinizde başka bir kullanıcının kaydını döndürüyor. Bu hangi kusurdur?

Hatalı yetkilendirme, kullanıcıların erişmemeleri gereken şeylere erişmesine izin verir. BOLA, BFLA ve toplu atamaya dikkat edin.

Sahiplik ve rol denetimlerini sunucuda uygulayın, varsayılan olarak reddedin ve yetkilendirmeyi bilinçli olarak sınayın.