Broken Access Control qarşısını necə almaq olar?

Müəllif : Bəhram Ağaəhmədli

Broken Access Control nədir?

Girişə nəzarət mexanizminin zəif tətbiqi asanlıqla istifadə edilə bilən Broken Access Control-a gətirib çıxarır. Buna Broken Access Control deyilir. Broken Access Control səbəbindən icazəsiz istifadəçilər baxmağa icazə verilməyən məzmunu görə bilər, icazəsiz funksiyaları yerinə yetirə bilər, hətta təcavüzkar məzmunu silə və ya saytın administrasiyasını ələ keçirə bilər.

Broken Access Control-u əsasən üç kateqoriyaya ayıra bilərik :

1. Horizontal imtiyazların artırılması:

İstifadəçilər onlarla eyni icazə səviyyəsinə malik olan digər istifadəçilərin məlumatlarına daxil ola bildikdə.

Məsələn , sosial media hesabınıza daxil olduğunuz zaman məzmununuzu görməyə və ona dəyişiklik etməyə icazə verilir, lakin digər istifadəçilərin hesablarına daxil olmaq icazəniz yoxdur. Bununla belə, girişə nəzarətdə açıq olarsa, işlər səhv gedə bilər.

2. Vertical imtiyazların artırılması:

İstifadəçilər vertical giriş nəzarətləri ilə normal istifadəçilərin etmədiyi bəzi hərəkətləri yerinə yetirmək icazəsi olan istifadəçilərin məlumatlarına daxil ola bildikdə, müxtəlif növ istifadəçilər müxtəlif proqram funksiyalarına daxil olur.

Məsələn , müəyyən funksiyaları yerinə yetirmək və müəyyən resurslara çatmaq üçün istifadəçinin admin imtiyazları olmalıdır, adi istifadəçinin isə belə imtiyazları yoxdur. Açığı olan vertical giriş nəzarətləri təcavüzkarlara bu funksiyalara giriş əldə etməyə imkan verir.

3. Kontekstdən asılı imtiyazların artırılması:

İstifadəçiyə səhv ardıcıllıqla hərəkətlər etməyə icazə verildikdə.

Məsələn , e-ticarət saytından mallar aldıqdan sonra istifadəçiyə öz alış-veriş səbətini dəyişdirməyə icazə verilməməlidir. Kontekstdən asılı giriş nəzarəti istifadəçiyə ödənişdən sonra elementləri dəyişməyə imkan vermir, lakin o pozulubsa, istifadəçiyə dəyişiklik etməyə icazə veriləcək.

Broken Access Control təsiri

1. Hər hansı bir vebsaytda hesab açdığımız zaman bizə unikal ID verilir. Həmin ID-dən istifadə etməklə biz bütün həssas məzmunlarımızın saxlandığı verilənlər bazasına daxil ola bilərik. Tutaq ki, siz vebsayta daxil olmusunuz və istifadəçi ID-niz 336- dır . Profil səhifənizin URL-i belə görünməlidir: https://(saytın adı)/profile?id=336 . Nəzərə almalıyıq ki, sizin kimi həmin saytda öz hesabını yaradan hər kəsə unikal istifadəçi ID verilir. Beləliklə, şəxsiyyət vəsiqənizi başqasının istifadəçi ID-si ilə əvəz etsəniz, onun profilinə daxil ola bilərsiniz. Bəli, bu giriş nəzarəti serverdə düzgün həyata keçirilmədikdə baş verə bilər.

2. Hakerlər normal istifadəçilər üçün əlçatan olmamalı olan resurslara və xidmətlərə giriş əldə etmək üçün Broken Access Control-dan istifadə edə bilərlər.

Məsələn , veb tətbiqinin admin səhifəsi yalnız admin üçün əlçatan olmalıdır və heç bir başqa istifadəçi üçün əlçatan olmamalıdır. Bununla belə, giriş nəzarəti pozulubsa, hakerlər sadəcə URL-də bəzi dəyişikliklər etməklə ona asanlıqla daxil ola bilərlər. Bu imtiyazla onlar digər istifadəçilərin məlumatlarını oğurlaya və ya bütün proqram hostinq ekosistemini məhv etmək üçün zərərli yüklər yerləşdirə bilərlər.

3. Xidmətdən imtina hücumları (DDOS) imkanları var . Həmin istifadəçi hesablarına girişlə təcavüzkarlar botları yerləşdirməklə hədəflənmiş serverin normal trafikini pozmağa cəhd edə bilərlər. Bu, serverin qanuni istifadəçi trafikini hücum trafikindən ayırmağı çətinləşdirir.

Broken Access Control qarşısını necə almaq olar?

OWASP , veb proqramların zəif tərəflərini və hücumlarını təhlil edən onlayn icma, ən təhlükəli 10 zəifliyin siyahısını təqdim etdi və Broken Access Control onlardan biridir. Bu, əksər veb proqramların zəif təhlükəsizliyinə malik olduğunu göstərir. Giriş nəzarətinin pozulmasının qarşısını almaq üçün təhlükəsizlik qrupu aşağıdakı təcrübələri qəbul edə bilər:

1. Pentester :

Effektiv davamlı sınaq və girişə nəzarət mexanizminin yoxlanılması daha yeni zəiflikləri aşkar etmək və onları mümkün qədər tez düzəltmək üçün effektiv üsuldur.

2. Defolt olaraq girişi rədd edin:

Giriş nəzarətini elə tərtib edin ki, ictimaiyyət üçün əlçatan olması nəzərdə tutulmadıqda, hər kəs resurslara və funksiyalara giriş əldə edə bilməyəcək. Siz daimi imtiyazlarla bağlı riskləri aradan qaldırmağa kömək edən JIT (Just-in-Time) girişini tətbiq edə bilərsiniz.

3. CORS İstifadəsinin Məhdudlaşdırılması:

CORS (Cross-Origin Resource Sharing) protokolu mənşəli mənbələri bölüşmək üçün idarə olunan üsul təqdim edir. CORS-in tətbiqi müştəri ilə hədəf tətbiqetmə arasında əlaqədə istifadə olunan Hypertext Transfer Protokolunun ( HTTP ) başlıqlarına əsaslanır.CORS protokolu səhv konfiqurasiya edildikdə, domeninizə sorğu göndərmək üçün zərərli tərəf tərəfindən idarə olunan domeni mümkün edir.

4. Rol əsaslı giriş nəzarətini aktivləşdirin:

Bu, geniş istifadə olunan girişə nəzarət mexanizmidir. Buna əsasən istifadəçilərə rollarına görə icazələr verilir. Hər bir istifadəçini ayrı-ayrılıqda müəyyən etmək əvəzinə, istifadəçilər bir qrup rola ayrılır, bu yolla İT dəstəyi və idarəetmə mübarizəsi azaldıla bilər və əməliyyat səmərəliliyi maksimuma çatacaqdır.

5. İcazə əsaslı giriş nəzarətini aktivləşdirin:

Bu, girişə nəzarət üsuludur, burada avtorizasiya təbəqəsi istifadəçinin müəyyən məlumatlara daxil olmaq və ya müəyyən bir hərəkəti yerinə yetirmək icazəsinin olub olmadığını yoxlayır, adətən istifadəçinin rollarının bu icazənin olub-olmadığını yoxlayır.

6. Məcburi giriş nəzarətini aktivləşdirin:

Bu, resursun ehtiva etdiyi məlumatın həssaslığına əsaslanaraq resurslara daxil olmaq imkanını məhdudlaşdıran təhlükəsizlik üsuludur. Bu təhlükəsizlik siyasəti yalnız administrator tərəfindən idarə oluna bilər, adi istifadəçilərin bu siyasəti dəyişmək imkanı yoxdur. Bu mərkəzləşdirilmiş idarəetmə sayəsində çox təhlükəsiz hesab olunur.