Les codeurs conquièrent la série des 10 meilleures API de l'OWASP en matière de sécurité : Authentification non fonctionnelle
Il n'est pas étonnant que l'authentification cassée figure sur la liste OWASP pour les problèmes d'API. Les mécanismes d'authentification sont notoirement difficiles à mettre en œuvre correctement. Les attaquants ont également un petit avantage car, de par leur nature même, la plupart des problèmes d'authentification doivent être exposés aux utilisateurs, ce qui donne aux attaquants l'occasion de les étudier et de rechercher des modèles ou des vulnérabilités qu'ils peuvent exploiter.
Enfin, comme l'authentification agit souvent comme une passerelle vers une application et potentiellement vers le reste du réseau, elle constitue une cible tentante pour les attaquants. Si un processus d'authentification est défaillant ou vulnérable, il y a de fortes chances que les attaquants découvrent cette faille et l'exploitent.
Dans ce chapitre, nous allons donc apprendre comment exclure les méchants en matière de problèmes d'authentification. Si vous voulez d'abord tester vos compétences, lancez-vous et jouez à notre défi gamifié :
Vous souhaitez améliorer votre score ? Restez avec moi pendant que nous le décomposons.
Quels sont quelques exemples d'authentification défaillante ou mal configurée ?
Par exemple, le problème n'est peut-être pas aussi évident lorsqu'une méthode d'authentification est vulnérable au bourrage d'informations d'identification ou lorsqu'elle utilise des listes de noms d'utilisateur et de mots de passe connus pour contourner la sécurité. Même une méthode d'autorisation normalement très sécurisée, telle que l'authentification multifactorielle, peut être vulnérable si les demandes ne sont pas limitées, limitées ou surveillées d'une autre manière.
Par exemple, un attaquant pourrait déclencher une demande de récupération de mot de passe en envoyant une requête POST à/api/système/codes de vérification et en fournissant un nom d'utilisateur dans le corps de la demande. Si une application utilise un défi par SMS où un code à six chiffres est envoyé au téléphone de l'utilisateur, mais que le champ de saisie n'est pas limité, l'application peut être piratée en quelques minutes seulement. Un attaquant doit simplement envoyer toutes les combinaisons de six chiffres possibles dans l'application jusqu'à ce qu'il trouve la bonne.
Dans ce scénario, à première vue, il semble que l'authentification à deux facteurs garantira la sécurité d'une application. Mais comme le débit de saisie de l'utilisateur n'est pas limité, l'authentification est défaillante et vulnérable.
Dans un autre exemple, une application peut utiliser des objets utilisateur codés comme cookies d'authentification. Mais si un attaquant disposant d'un accès utilisateur de bas niveau décode ce cookie à l'aide de Base64, il pourrait découvrir comment le cookie définit les sessions et les utilisateurs de l'application. Par exemple, ils peuvent voir le JSON suivant une fois décodé :
{
« nom d'utilisateur » : « ShadyGuy »,
« role » : « utilisateur »
{
À ce stade, l'utilisateur malveillant pourrait modifier son nom d'utilisateur, son rôle ou les deux. Ils pourraient devenir un autre utilisateur avec un niveau de privilège plus élevé en modifiant quelques valeurs :
{
« nom d'utilisateur » : « GoodGuy »,
« rôle » : « administrateur »
{
À ce stade, si l'attaquant recode les informations et les définit comme valeur de cookie, il devient essentiellement le nouvel utilisateur avec un niveau d'autorisation plus élevé. À moins que des méthodes ne soient mises en place pour empêcher un tel changement, il y a de fortes chances que l'application accepte la transformation.
Élimination de l'authentification défaillante ou mal configurée
Si l'authentification échoue, il y a de fortes chances que la sécurité soit compromise à tous les niveaux. Cependant, le fait de suivre quelques directives importantes lors du codage des applications peut vous aider à tout sécuriser.
Tout d'abord, veillez à inclure partout des contrôles d'authentification qui permettent aux utilisateurs d'accéder aux fonctionnalités du programme. Si le contrôle d'authentification n'existe pas du tout, la bataille est perdue dès le départ.
En termes de bonnes pratiques, une bonne chose à garder à l'esprit est d'éviter d'exposer les identifiants de session dans l'URL accessible aux utilisateurs. Dans le deuxième exemple ci-dessus concernant l'authentification défaillante, il est beaucoup plus facile d'empêcher un attaquant d'essayer de décoder le cookie de session s'il ne lui est jamais exposé.
C'est également une bonne idée d'implémenter l'authentification multifactorielle. Cela peut être fait en toute sécurité à l'aide de jetons matériels qui génèrent des mots de passe de manière algorithmique dans des délais serrés. Si vous n'êtes pas en mesure de fournir à vos utilisateurs de tels appareils, les SMS peuvent également fonctionner. Mais vous devez vous assurer que les demandes des utilisateurs sont limitées à quelque chose de raisonnable, comme trois ou quatre essais sur une période de 30 secondes, et que les codes expirent tous ensemble au bout de quelques minutes seulement. L'utilisation d'un code alphanumérique peut également améliorer la sécurité en ajoutant des lettres et des chiffres aux mots de passe potentiels.
Enfin, si possible, évitez de vous baser sur des noms d'utilisateur ou des valeurs séquentielles prévisibles comme identifiants de session. Utilisez plutôt un gestionnaire de session sécurisé côté serveur qui génère un identifiant de session aléatoire à chaque fois.
La mise en œuvre de méthodes d'authentification sécurisées est un peu plus délicate que la lutte contre la vulnérabilité moyenne. Mais comme l'autorisation est si importante pour chaque application, programme et API, il vaut la peine de prendre plus de temps pour vous assurer de bien faire les choses.
Consultez le Secure Code Warrior pages de blog pour en savoir plus sur cette vulnérabilité et sur la manière de protéger votre organisation et vos clients des ravages causés par d'autres failles de sécurité. Vous pouvez également essayez une démo de la plateforme de formation Secure Code Warrior pour maintenir toutes vos compétences en cybersécurité à jour et à jour.
L'authentification agit souvent comme une passerelle vers une application et potentiellement vers le reste du réseau, ce qui en fait des cibles tentantes pour les attaquants. Si un processus d'authentification est défaillant ou vulnérable, il y a de fortes chances que les attaquants découvrent cette faille et l'exploitent.
Matias Madou, Ph.D. セキュリティ専門家、研究者、CTO兼共同設立者（Secure Code Warrior ）。Ghent大学でアプリケーションセキュリティの博士号を取得し、静的解析ソリューションに焦点を当てた。その後、米国Fortify社に入社し、開発者が安全なコードを書くことを支援せずに、コードの問題を検出するだけでは不十分であることに気づきました。開発者を支援し、セキュリティの負担を軽減し、お客様の期待を上回る製品を開発することを志すようになった。Team Awesomeの一員としてデスクワークをしていないときは、RSA Conference、BlackHat、DefConなどのカンファレンスでプレゼンテーションをするのが好きである。
Secure Code Warrior ソフトウェア開発ライフサイクル全体を通じてコードのセキュリティを確保し、サイバーセキュリティを最優先事項とする文化を構築するために、組織をSecure Code Warrior 。アプリケーションセキュリティ担当者、開発者、情報セキュリティ責任者、その他セキュリティに関わるあらゆる方々のために、当社は組織が非セキュアなコードに関連するリスクを軽減するお手伝いをいたします。
デモを予約する
Matias Madou, Ph.D. セキュリティ専門家、研究者、CTO兼共同設立者（Secure Code Warrior ）。Ghent大学でアプリケーションセキュリティの博士号を取得し、静的解析ソリューションに焦点を当てた。その後、米国Fortify社に入社し、開発者が安全なコードを書くことを支援せずに、コードの問題を検出するだけでは不十分であることに気づきました。開発者を支援し、セキュリティの負担を軽減し、お客様の期待を上回る製品を開発することを志すようになった。Team Awesomeの一員としてデスクワークをしていないときは、RSA Conference、BlackHat、DefConなどのカンファレンスでプレゼンテーションをするのが好きである。
マティアスは、15年以上のソフトウェアセキュリティの実務経験を持つ研究者・開発者です。フォーティファイ・ソフトウェア社や自身の会社（Sensei Security）などでソリューションを開発してきました。キャリアの中で、Matiasは、商用製品につながる複数のアプリケーションセキュリティ研究プロジェクトを主導し、10件以上の特許を取得しています。また、RSAカンファレンス、Black Hat、DefCon、BSIMM、OWASP AppSec、BruConなどの世界的なカンファレンスで定期的に講演を行っているほか、高度なアプリケーションセキュリティトレーニング（courses ）の講師も務めています。
Matiasはゲント大学でコンピュータ工学の博士号を取得し、アプリケーションの内部構造を隠すためのプログラム難読化によるアプリケーションセキュリティを研究しました。
Il n'est pas étonnant que l'authentification cassée figure sur la liste OWASP pour les problèmes d'API. Les mécanismes d'authentification sont notoirement difficiles à mettre en œuvre correctement. Les attaquants ont également un petit avantage car, de par leur nature même, la plupart des problèmes d'authentification doivent être exposés aux utilisateurs, ce qui donne aux attaquants l'occasion de les étudier et de rechercher des modèles ou des vulnérabilités qu'ils peuvent exploiter.
Enfin, comme l'authentification agit souvent comme une passerelle vers une application et potentiellement vers le reste du réseau, elle constitue une cible tentante pour les attaquants. Si un processus d'authentification est défaillant ou vulnérable, il y a de fortes chances que les attaquants découvrent cette faille et l'exploitent.
Dans ce chapitre, nous allons donc apprendre comment exclure les méchants en matière de problèmes d'authentification. Si vous voulez d'abord tester vos compétences, lancez-vous et jouez à notre défi gamifié :
Vous souhaitez améliorer votre score ? Restez avec moi pendant que nous le décomposons.
Quels sont quelques exemples d'authentification défaillante ou mal configurée ?
Par exemple, le problème n'est peut-être pas aussi évident lorsqu'une méthode d'authentification est vulnérable au bourrage d'informations d'identification ou lorsqu'elle utilise des listes de noms d'utilisateur et de mots de passe connus pour contourner la sécurité. Même une méthode d'autorisation normalement très sécurisée, telle que l'authentification multifactorielle, peut être vulnérable si les demandes ne sont pas limitées, limitées ou surveillées d'une autre manière.
Par exemple, un attaquant pourrait déclencher une demande de récupération de mot de passe en envoyant une requête POST à/api/système/codes de vérification et en fournissant un nom d'utilisateur dans le corps de la demande. Si une application utilise un défi par SMS où un code à six chiffres est envoyé au téléphone de l'utilisateur, mais que le champ de saisie n'est pas limité, l'application peut être piratée en quelques minutes seulement. Un attaquant doit simplement envoyer toutes les combinaisons de six chiffres possibles dans l'application jusqu'à ce qu'il trouve la bonne.
Dans ce scénario, à première vue, il semble que l'authentification à deux facteurs garantira la sécurité d'une application. Mais comme le débit de saisie de l'utilisateur n'est pas limité, l'authentification est défaillante et vulnérable.
Dans un autre exemple, une application peut utiliser des objets utilisateur codés comme cookies d'authentification. Mais si un attaquant disposant d'un accès utilisateur de bas niveau décode ce cookie à l'aide de Base64, il pourrait découvrir comment le cookie définit les sessions et les utilisateurs de l'application. Par exemple, ils peuvent voir le JSON suivant une fois décodé :
{
« nom d'utilisateur » : « ShadyGuy »,
« role » : « utilisateur »
{
À ce stade, l'utilisateur malveillant pourrait modifier son nom d'utilisateur, son rôle ou les deux. Ils pourraient devenir un autre utilisateur avec un niveau de privilège plus élevé en modifiant quelques valeurs :
{
« nom d'utilisateur » : « GoodGuy »,
« rôle » : « administrateur »
{
À ce stade, si l'attaquant recode les informations et les définit comme valeur de cookie, il devient essentiellement le nouvel utilisateur avec un niveau d'autorisation plus élevé. À moins que des méthodes ne soient mises en place pour empêcher un tel changement, il y a de fortes chances que l'application accepte la transformation.
Élimination de l'authentification défaillante ou mal configurée
Si l'authentification échoue, il y a de fortes chances que la sécurité soit compromise à tous les niveaux. Cependant, le fait de suivre quelques directives importantes lors du codage des applications peut vous aider à tout sécuriser.
Tout d'abord, veillez à inclure partout des contrôles d'authentification qui permettent aux utilisateurs d'accéder aux fonctionnalités du programme. Si le contrôle d'authentification n'existe pas du tout, la bataille est perdue dès le départ.
En termes de bonnes pratiques, une bonne chose à garder à l'esprit est d'éviter d'exposer les identifiants de session dans l'URL accessible aux utilisateurs. Dans le deuxième exemple ci-dessus concernant l'authentification défaillante, il est beaucoup plus facile d'empêcher un attaquant d'essayer de décoder le cookie de session s'il ne lui est jamais exposé.
C'est également une bonne idée d'implémenter l'authentification multifactorielle. Cela peut être fait en toute sécurité à l'aide de jetons matériels qui génèrent des mots de passe de manière algorithmique dans des délais serrés. Si vous n'êtes pas en mesure de fournir à vos utilisateurs de tels appareils, les SMS peuvent également fonctionner. Mais vous devez vous assurer que les demandes des utilisateurs sont limitées à quelque chose de raisonnable, comme trois ou quatre essais sur une période de 30 secondes, et que les codes expirent tous ensemble au bout de quelques minutes seulement. L'utilisation d'un code alphanumérique peut également améliorer la sécurité en ajoutant des lettres et des chiffres aux mots de passe potentiels.
Enfin, si possible, évitez de vous baser sur des noms d'utilisateur ou des valeurs séquentielles prévisibles comme identifiants de session. Utilisez plutôt un gestionnaire de session sécurisé côté serveur qui génère un identifiant de session aléatoire à chaque fois.
La mise en œuvre de méthodes d'authentification sécurisées est un peu plus délicate que la lutte contre la vulnérabilité moyenne. Mais comme l'autorisation est si importante pour chaque application, programme et API, il vaut la peine de prendre plus de temps pour vous assurer de bien faire les choses.
Consultez le Secure Code Warrior pages de blog pour en savoir plus sur cette vulnérabilité et sur la manière de protéger votre organisation et vos clients des ravages causés par d'autres failles de sécurité. Vous pouvez également essayez une démo de la plateforme de formation Secure Code Warrior pour maintenir toutes vos compétences en cybersécurité à jour et à jour.
Il n'est pas étonnant que l'authentification cassée figure sur la liste OWASP pour les problèmes d'API. Les mécanismes d'authentification sont notoirement difficiles à mettre en œuvre correctement. Les attaquants ont également un petit avantage car, de par leur nature même, la plupart des problèmes d'authentification doivent être exposés aux utilisateurs, ce qui donne aux attaquants l'occasion de les étudier et de rechercher des modèles ou des vulnérabilités qu'ils peuvent exploiter.
Enfin, comme l'authentification agit souvent comme une passerelle vers une application et potentiellement vers le reste du réseau, elle constitue une cible tentante pour les attaquants. Si un processus d'authentification est défaillant ou vulnérable, il y a de fortes chances que les attaquants découvrent cette faille et l'exploitent.
Dans ce chapitre, nous allons donc apprendre comment exclure les méchants en matière de problèmes d'authentification. Si vous voulez d'abord tester vos compétences, lancez-vous et jouez à notre défi gamifié :
Vous souhaitez améliorer votre score ? Restez avec moi pendant que nous le décomposons.
Quels sont quelques exemples d'authentification défaillante ou mal configurée ?
Par exemple, le problème n'est peut-être pas aussi évident lorsqu'une méthode d'authentification est vulnérable au bourrage d'informations d'identification ou lorsqu'elle utilise des listes de noms d'utilisateur et de mots de passe connus pour contourner la sécurité. Même une méthode d'autorisation normalement très sécurisée, telle que l'authentification multifactorielle, peut être vulnérable si les demandes ne sont pas limitées, limitées ou surveillées d'une autre manière.
Par exemple, un attaquant pourrait déclencher une demande de récupération de mot de passe en envoyant une requête POST à/api/système/codes de vérification et en fournissant un nom d'utilisateur dans le corps de la demande. Si une application utilise un défi par SMS où un code à six chiffres est envoyé au téléphone de l'utilisateur, mais que le champ de saisie n'est pas limité, l'application peut être piratée en quelques minutes seulement. Un attaquant doit simplement envoyer toutes les combinaisons de six chiffres possibles dans l'application jusqu'à ce qu'il trouve la bonne.
Dans ce scénario, à première vue, il semble que l'authentification à deux facteurs garantira la sécurité d'une application. Mais comme le débit de saisie de l'utilisateur n'est pas limité, l'authentification est défaillante et vulnérable.
Dans un autre exemple, une application peut utiliser des objets utilisateur codés comme cookies d'authentification. Mais si un attaquant disposant d'un accès utilisateur de bas niveau décode ce cookie à l'aide de Base64, il pourrait découvrir comment le cookie définit les sessions et les utilisateurs de l'application. Par exemple, ils peuvent voir le JSON suivant une fois décodé :
{
« nom d'utilisateur » : « ShadyGuy »,
« role » : « utilisateur »
{
À ce stade, l'utilisateur malveillant pourrait modifier son nom d'utilisateur, son rôle ou les deux. Ils pourraient devenir un autre utilisateur avec un niveau de privilège plus élevé en modifiant quelques valeurs :
{
« nom d'utilisateur » : « GoodGuy »,
« rôle » : « administrateur »
{
À ce stade, si l'attaquant recode les informations et les définit comme valeur de cookie, il devient essentiellement le nouvel utilisateur avec un niveau d'autorisation plus élevé. À moins que des méthodes ne soient mises en place pour empêcher un tel changement, il y a de fortes chances que l'application accepte la transformation.
Élimination de l'authentification défaillante ou mal configurée
Si l'authentification échoue, il y a de fortes chances que la sécurité soit compromise à tous les niveaux. Cependant, le fait de suivre quelques directives importantes lors du codage des applications peut vous aider à tout sécuriser.
Tout d'abord, veillez à inclure partout des contrôles d'authentification qui permettent aux utilisateurs d'accéder aux fonctionnalités du programme. Si le contrôle d'authentification n'existe pas du tout, la bataille est perdue dès le départ.
En termes de bonnes pratiques, une bonne chose à garder à l'esprit est d'éviter d'exposer les identifiants de session dans l'URL accessible aux utilisateurs. Dans le deuxième exemple ci-dessus concernant l'authentification défaillante, il est beaucoup plus facile d'empêcher un attaquant d'essayer de décoder le cookie de session s'il ne lui est jamais exposé.
C'est également une bonne idée d'implémenter l'authentification multifactorielle. Cela peut être fait en toute sécurité à l'aide de jetons matériels qui génèrent des mots de passe de manière algorithmique dans des délais serrés. Si vous n'êtes pas en mesure de fournir à vos utilisateurs de tels appareils, les SMS peuvent également fonctionner. Mais vous devez vous assurer que les demandes des utilisateurs sont limitées à quelque chose de raisonnable, comme trois ou quatre essais sur une période de 30 secondes, et que les codes expirent tous ensemble au bout de quelques minutes seulement. L'utilisation d'un code alphanumérique peut également améliorer la sécurité en ajoutant des lettres et des chiffres aux mots de passe potentiels.
Enfin, si possible, évitez de vous baser sur des noms d'utilisateur ou des valeurs séquentielles prévisibles comme identifiants de session. Utilisez plutôt un gestionnaire de session sécurisé côté serveur qui génère un identifiant de session aléatoire à chaque fois.
La mise en œuvre de méthodes d'authentification sécurisées est un peu plus délicate que la lutte contre la vulnérabilité moyenne. Mais comme l'autorisation est si importante pour chaque application, programme et API, il vaut la peine de prendre plus de temps pour vous assurer de bien faire les choses.
Consultez le Secure Code Warrior pages de blog pour en savoir plus sur cette vulnérabilité et sur la manière de protéger votre organisation et vos clients des ravages causés par d'autres failles de sécurité. Vous pouvez également essayez une démo de la plateforme de formation Secure Code Warrior pour maintenir toutes vos compétences en cybersécurité à jour et à jour.
以下のリンクをクリックして、このリソースのPDFをダウンロードしてください。
Secure Code Warrior ソフトウェア開発ライフサイクル全体を通じてコードのセキュリティを確保し、サイバーセキュリティを最優先事項とする文化を構築するために、組織をSecure Code Warrior 。アプリケーションセキュリティ担当者、開発者、情報セキュリティ責任者、その他セキュリティに関わるあらゆる方々のために、当社は組織が非セキュアなコードに関連するリスクを軽減するお手伝いをいたします。
レポートを表示するデモを予約する
Matias Madou, Ph.D. セキュリティ専門家、研究者、CTO兼共同設立者（Secure Code Warrior ）。Ghent大学でアプリケーションセキュリティの博士号を取得し、静的解析ソリューションに焦点を当てた。その後、米国Fortify社に入社し、開発者が安全なコードを書くことを支援せずに、コードの問題を検出するだけでは不十分であることに気づきました。開発者を支援し、セキュリティの負担を軽減し、お客様の期待を上回る製品を開発することを志すようになった。Team Awesomeの一員としてデスクワークをしていないときは、RSA Conference、BlackHat、DefConなどのカンファレンスでプレゼンテーションをするのが好きである。
マティアスは、15年以上のソフトウェアセキュリティの実務経験を持つ研究者・開発者です。フォーティファイ・ソフトウェア社や自身の会社（Sensei Security）などでソリューションを開発してきました。キャリアの中で、Matiasは、商用製品につながる複数のアプリケーションセキュリティ研究プロジェクトを主導し、10件以上の特許を取得しています。また、RSAカンファレンス、Black Hat、DefCon、BSIMM、OWASP AppSec、BruConなどの世界的なカンファレンスで定期的に講演を行っているほか、高度なアプリケーションセキュリティトレーニング（courses ）の講師も務めています。
Matiasはゲント大学でコンピュータ工学の博士号を取得し、アプリケーションの内部構造を隠すためのプログラム難読化によるアプリケーションセキュリティを研究しました。
Il n'est pas étonnant que l'authentification cassée figure sur la liste OWASP pour les problèmes d'API. Les mécanismes d'authentification sont notoirement difficiles à mettre en œuvre correctement. Les attaquants ont également un petit avantage car, de par leur nature même, la plupart des problèmes d'authentification doivent être exposés aux utilisateurs, ce qui donne aux attaquants l'occasion de les étudier et de rechercher des modèles ou des vulnérabilités qu'ils peuvent exploiter.
Enfin, comme l'authentification agit souvent comme une passerelle vers une application et potentiellement vers le reste du réseau, elle constitue une cible tentante pour les attaquants. Si un processus d'authentification est défaillant ou vulnérable, il y a de fortes chances que les attaquants découvrent cette faille et l'exploitent.
Dans ce chapitre, nous allons donc apprendre comment exclure les méchants en matière de problèmes d'authentification. Si vous voulez d'abord tester vos compétences, lancez-vous et jouez à notre défi gamifié :
Vous souhaitez améliorer votre score ? Restez avec moi pendant que nous le décomposons.
Quels sont quelques exemples d'authentification défaillante ou mal configurée ?
Par exemple, le problème n'est peut-être pas aussi évident lorsqu'une méthode d'authentification est vulnérable au bourrage d'informations d'identification ou lorsqu'elle utilise des listes de noms d'utilisateur et de mots de passe connus pour contourner la sécurité. Même une méthode d'autorisation normalement très sécurisée, telle que l'authentification multifactorielle, peut être vulnérable si les demandes ne sont pas limitées, limitées ou surveillées d'une autre manière.
Par exemple, un attaquant pourrait déclencher une demande de récupération de mot de passe en envoyant une requête POST à/api/système/codes de vérification et en fournissant un nom d'utilisateur dans le corps de la demande. Si une application utilise un défi par SMS où un code à six chiffres est envoyé au téléphone de l'utilisateur, mais que le champ de saisie n'est pas limité, l'application peut être piratée en quelques minutes seulement. Un attaquant doit simplement envoyer toutes les combinaisons de six chiffres possibles dans l'application jusqu'à ce qu'il trouve la bonne.
Dans ce scénario, à première vue, il semble que l'authentification à deux facteurs garantira la sécurité d'une application. Mais comme le débit de saisie de l'utilisateur n'est pas limité, l'authentification est défaillante et vulnérable.
Dans un autre exemple, une application peut utiliser des objets utilisateur codés comme cookies d'authentification. Mais si un attaquant disposant d'un accès utilisateur de bas niveau décode ce cookie à l'aide de Base64, il pourrait découvrir comment le cookie définit les sessions et les utilisateurs de l'application. Par exemple, ils peuvent voir le JSON suivant une fois décodé :
{
« nom d'utilisateur » : « ShadyGuy »,
« role » : « utilisateur »
{
À ce stade, l'utilisateur malveillant pourrait modifier son nom d'utilisateur, son rôle ou les deux. Ils pourraient devenir un autre utilisateur avec un niveau de privilège plus élevé en modifiant quelques valeurs :
{
« nom d'utilisateur » : « GoodGuy »,
« rôle » : « administrateur »
{
À ce stade, si l'attaquant recode les informations et les définit comme valeur de cookie, il devient essentiellement le nouvel utilisateur avec un niveau d'autorisation plus élevé. À moins que des méthodes ne soient mises en place pour empêcher un tel changement, il y a de fortes chances que l'application accepte la transformation.
Élimination de l'authentification défaillante ou mal configurée
Si l'authentification échoue, il y a de fortes chances que la sécurité soit compromise à tous les niveaux. Cependant, le fait de suivre quelques directives importantes lors du codage des applications peut vous aider à tout sécuriser.
Tout d'abord, veillez à inclure partout des contrôles d'authentification qui permettent aux utilisateurs d'accéder aux fonctionnalités du programme. Si le contrôle d'authentification n'existe pas du tout, la bataille est perdue dès le départ.
En termes de bonnes pratiques, une bonne chose à garder à l'esprit est d'éviter d'exposer les identifiants de session dans l'URL accessible aux utilisateurs. Dans le deuxième exemple ci-dessus concernant l'authentification défaillante, il est beaucoup plus facile d'empêcher un attaquant d'essayer de décoder le cookie de session s'il ne lui est jamais exposé.
C'est également une bonne idée d'implémenter l'authentification multifactorielle. Cela peut être fait en toute sécurité à l'aide de jetons matériels qui génèrent des mots de passe de manière algorithmique dans des délais serrés. Si vous n'êtes pas en mesure de fournir à vos utilisateurs de tels appareils, les SMS peuvent également fonctionner. Mais vous devez vous assurer que les demandes des utilisateurs sont limitées à quelque chose de raisonnable, comme trois ou quatre essais sur une période de 30 secondes, et que les codes expirent tous ensemble au bout de quelques minutes seulement. L'utilisation d'un code alphanumérique peut également améliorer la sécurité en ajoutant des lettres et des chiffres aux mots de passe potentiels.
Enfin, si possible, évitez de vous baser sur des noms d'utilisateur ou des valeurs séquentielles prévisibles comme identifiants de session. Utilisez plutôt un gestionnaire de session sécurisé côté serveur qui génère un identifiant de session aléatoire à chaque fois.
La mise en œuvre de méthodes d'authentification sécurisées est un peu plus délicate que la lutte contre la vulnérabilité moyenne. Mais comme l'autorisation est si importante pour chaque application, programme et API, il vaut la peine de prendre plus de temps pour vous assurer de bien faire les choses.
Consultez le Secure Code Warrior pages de blog pour en savoir plus sur cette vulnérabilité et sur la manière de protéger votre organisation et vos clients des ravages causés par d'autres failles de sécurité. Vous pouvez également essayez une démo de la plateforme de formation Secure Code Warrior pour maintenir toutes vos compétences en cybersécurité à jour et à jour.
目次
Matias Madou, Ph.D. セキュリティ専門家、研究者、CTO兼共同設立者（Secure Code Warrior ）。Ghent大学でアプリケーションセキュリティの博士号を取得し、静的解析ソリューションに焦点を当てた。その後、米国Fortify社に入社し、開発者が安全なコードを書くことを支援せずに、コードの問題を検出するだけでは不十分であることに気づきました。開発者を支援し、セキュリティの負担を軽減し、お客様の期待を上回る製品を開発することを志すようになった。Team Awesomeの一員としてデスクワークをしていないときは、RSA Conference、BlackHat、DefConなどのカンファレンスでプレゼンテーションをするのが好きである。
Secure Code Warrior ソフトウェア開発ライフサイクル全体を通じてコードのセキュリティを確保し、サイバーセキュリティを最優先事項とする文化を構築するために、組織をSecure Code Warrior 。アプリケーションセキュリティ担当者、開発者、情報セキュリティ責任者、その他セキュリティに関わるあらゆる方々のために、当社は組織が非セキュアなコードに関連するリスクを軽減するお手伝いをいたします。
デモを予約するダウンロード
%20(1).avif)
.avif)
