Les codeurs conquièrent la série des 10 meilleures API de l'OWASP en matière de sécurité : Authentification non fonctionnelle

Il n'est pas étonnant que l'authentification cassée figure sur la liste OWASP pour les problèmes d'API. Les mécanismes d'authentification sont notoirement difficiles à mettre en œuvre correctement. Les attaquants ont également un petit avantage car, de par leur nature même, la plupart des problèmes d'authentification doivent être exposés aux utilisateurs, ce qui donne aux attaquants l'occasion de les étudier et de rechercher des modèles ou des vulnérabilités qu'ils peuvent exploiter.

Enfin, comme l'authentification agit souvent comme une passerelle vers une application et potentiellement vers le reste du réseau, elle constitue une cible tentante pour les attaquants. Si un processus d'authentification est défaillant ou vulnérable, il y a de fortes chances que les attaquants découvrent cette faille et l'exploitent.

Dans ce chapitre, nous allons donc apprendre comment exclure les méchants en matière de problèmes d'authentification. Si vous voulez d'abord tester vos compétences, lancez-vous et jouez à notre défi gamifié :

Vous souhaitez améliorer votre score ? Restez avec moi pendant que nous le décomposons.

Quels sont quelques exemples d'authentification défaillante ou mal configurée ?

Par exemple, le problème n'est peut-être pas aussi évident lorsqu'une méthode d'authentification est vulnérable au bourrage d'informations d'identification ou lorsqu'elle utilise des listes de noms d'utilisateur et de mots de passe connus pour contourner la sécurité. Même une méthode d'autorisation normalement très sécurisée, telle que l'authentification multifactorielle, peut être vulnérable si les demandes ne sont pas limitées, limitées ou surveillées d'une autre manière.

Par exemple, un attaquant pourrait déclencher une demande de récupération de mot de passe en envoyant une requête POST à/api/système/codes de vérification et en fournissant un nom d'utilisateur dans le corps de la demande. Si une application utilise un défi par SMS où un code à six chiffres est envoyé au téléphone de l'utilisateur, mais que le champ de saisie n'est pas limité, l'application peut être piratée en quelques minutes seulement. Un attaquant doit simplement envoyer toutes les combinaisons de six chiffres possibles dans l'application jusqu'à ce qu'il trouve la bonne.

Dans ce scénario, à première vue, il semble que l'authentification à deux facteurs garantira la sécurité d'une application. Mais comme le débit de saisie de l'utilisateur n'est pas limité, l'authentification est défaillante et vulnérable.

Dans un autre exemple, une application peut utiliser des objets utilisateur codés comme cookies d'authentification. Mais si un attaquant disposant d'un accès utilisateur de bas niveau décode ce cookie à l'aide de Base64, il pourrait découvrir comment le cookie définit les sessions et les utilisateurs de l'application. Par exemple, ils peuvent voir le JSON suivant une fois décodé :

{
« nom d'utilisateur » : « ShadyGuy »,
« role » : « utilisateur »
{

À ce stade, l'utilisateur malveillant pourrait modifier son nom d'utilisateur, son rôle ou les deux. Ils pourraient devenir un autre utilisateur avec un niveau de privilège plus élevé en modifiant quelques valeurs :

{
« nom d'utilisateur » : « GoodGuy »,
« rôle » : « administrateur »
{

À ce stade, si l'attaquant recode les informations et les définit comme valeur de cookie, il devient essentiellement le nouvel utilisateur avec un niveau d'autorisation plus élevé. À moins que des méthodes ne soient mises en place pour empêcher un tel changement, il y a de fortes chances que l'application accepte la transformation.

Élimination de l'authentification défaillante ou mal configurée

Si l'authentification échoue, il y a de fortes chances que la sécurité soit compromise à tous les niveaux. Cependant, le fait de suivre quelques directives importantes lors du codage des applications peut vous aider à tout sécuriser.

Tout d'abord, veillez à inclure partout des contrôles d'authentification qui permettent aux utilisateurs d'accéder aux fonctionnalités du programme. Si le contrôle d'authentification n'existe pas du tout, la bataille est perdue dès le départ.

En termes de bonnes pratiques, une bonne chose à garder à l'esprit est d'éviter d'exposer les identifiants de session dans l'URL accessible aux utilisateurs. Dans le deuxième exemple ci-dessus concernant l'authentification défaillante, il est beaucoup plus facile d'empêcher un attaquant d'essayer de décoder le cookie de session s'il ne lui est jamais exposé.

C'est également une bonne idée d'implémenter l'authentification multifactorielle. Cela peut être fait en toute sécurité à l'aide de jetons matériels qui génèrent des mots de passe de manière algorithmique dans des délais serrés. Si vous n'êtes pas en mesure de fournir à vos utilisateurs de tels appareils, les SMS peuvent également fonctionner. Mais vous devez vous assurer que les demandes des utilisateurs sont limitées à quelque chose de raisonnable, comme trois ou quatre essais sur une période de 30 secondes, et que les codes expirent tous ensemble au bout de quelques minutes seulement. L'utilisation d'un code alphanumérique peut également améliorer la sécurité en ajoutant des lettres et des chiffres aux mots de passe potentiels.

Enfin, si possible, évitez de vous baser sur des noms d'utilisateur ou des valeurs séquentielles prévisibles comme identifiants de session. Utilisez plutôt un gestionnaire de session sécurisé côté serveur qui génère un identifiant de session aléatoire à chaque fois.

La mise en œuvre de méthodes d'authentification sécurisées est un peu plus délicate que la lutte contre la vulnérabilité moyenne. Mais comme l'autorisation est si importante pour chaque application, programme et API, il vaut la peine de prendre plus de temps pour vous assurer de bien faire les choses.

Consultez le Secure Code Warrior pages de blog pour en savoir plus sur cette vulnérabilité et sur la manière de protéger votre organisation et vos clients des ravages causés par d'autres failles de sécurité. Vous pouvez également essayez une démo de la plateforme de formation Secure Code Warrior pour maintenir toutes vos compétences en cybersécurité à jour et à jour.