Security Blog

Le 10 migliori API di sicurezza OWASP: autenticazione non funzionante

ResilientX

Nel panorama digitale odierno, le API (Application Programming Interfaces) svolgono un ruolo cruciale nel consentire la comunicazione e l'interazione tra vari sistemi software. Tuttavia, le API possono anche diventare un bersaglio per gli aggressori se non vengono implementate misure di sicurezza adeguate. Una vulnerabilità comune che espone le API ai rischi e l'autenticazione non funzionante. In questo articolo tecnico, esploreremo gli agenti di minaccia, i vettori di attacco, i punti deboli della sicurezza e gli impatti associati all'autenticazione non funzionante tramite API 2:2023. Discuteremo anche esempi di scenari di attacco e forniremo misure preventive per mitigare questa vulnerabilità.

Agenti di minaccia/vettori di attacco

Gli agenti delle minacce che prendono di mira l'autenticazione violata possono variare da aggressori opportunisti a hacker sofisticati. I vettori di attacco associati all'autenticazione non funzionante possono essere classificati come segue:

Sfruttabilità facile: Il meccanismo di autenticazione è spesso un facile bersaglio per gli aggressori in quanto è esposto a tutti. Sebbene alcuni problemi di autenticazione possano richiedere competenze tecniche avanzate per lo sfruttamento, gli strumenti di sfruttamento facilmente disponibili lo rendono accessibile a una gamma più ampia di aggressori.
Debolezza della sicurezza: La prevalenza delle autenticazioni non funzionanti è principalmente attribuita a idee sbagliate e complessità di implementazione relative ai confini dell'autenticazione. Gli ingegneri del software e della sicurezza possono avere ipotesi errate o non avere una comprensione completa di come implementare meccanismi di autenticazione sicuri. Ciò porta alla seguente debolezza in termini di sicurezza:
Idee sbagliate e complessità dell'implementazione: Le idee sbagliate degli ingegneri del software e della sicurezza in merito ai limiti dell'autenticazione e alla complessità intrinseca dell'implementazione rendono prevalenti i problemi di autenticazione. Queste idee sbagliate possono portare a meccanismi di autenticazione vulnerabili, esponendo le API agli attacchi.

Impatti: gli impatti dell'autenticazione non funzionante possono avere gravi conseguenze tecniche e specifiche aziendali. Quando i meccanismi di autenticazione vengono compromessi, gli aggressori ottengono l'accesso non autorizzato agli account utente, con i seguenti impatti:

Acquisizione completa dell'account: gli aggressori possono ottenere il controllo completo degli account di altri utenti nel sistema, permettendo loro di leggere i dati personali ed eseguire azioni sensibili per il loro account. Questa compromissione può comportare una violazione della privacy, perdite finanziarie, danni alla reputazione e conseguenze legali.
Difficoltà di rilevamento: gli attacchi di autenticazione non funzionanti possono essere difficili da rilevare poiché le azioni degli aggressori spesso imitano il comportamento legittimo degli utenti. I sistemi fanno fatica a distinguere tra le azioni degli aggressori e degli utenti autentici, il che rende difficile identificare e rispondere tempestivamente a tali attacchi.

L'API è vulnerabile?

Per determinare se un'API è vulnerabile a un'autenticazione non funzionante, è essenziale valutare diversi fattori. Un'API può essere considerata vulnerabile se presenta una delle seguenti caratteristiche:

Riempimento delle credenziali: L'API consente attacchi di credential stuffing, in cui gli aggressori utilizzano tecniche di forza bruta con un elenco di nomi utente e password validi per ottenere accessi non autorizzati.
Attacchi di forza bruta: L'API consente agli aggressori di eseguire attacchi di forza bruta sullo stesso account utente senza implementare meccanismi come CAPTCHA o blocco dell'account, che impedirebbero più tentativi di accesso falliti.
Password deboli: L'API consente l'uso di password deboli, facilmente indovinabili o suscettibili agli attacchi del dizionario.
Trasmissione non sicura: L'API invia dettagli di autenticazione sensibili, come token di autenticazione e password, nell'URL. Questa pratica espone le informazioni sensibili a potenziali intercettazioni o accessi non autorizzati.
Mancanza di conferma per le operazioni sensibili: L'API consente agli utenti di eseguire operazioni sensibili, come la modifica degli indirizzi e-mail o delle password, senza richiedere la conferma della password. Ciò rende più facile per gli aggressori assumere il controllo degli account utente.
Mancanza di convalida dell'autenticità del token: L'API non convalida l'autenticità dei token, rendendola suscettibile alla manomissione dei token o agli attacchi di iniezione.
Uso del token JWT deboli o non firmati: L'API accetta token JWT (JSON Web Token) non firmati o con firma debole, che possono essere sfruttati dagli aggressori per ottenere accessi non autorizzati.
Mancanza della convalida della scadenza JWT: L'API non convalida la data di scadenza dei token JWT, consentendo l'accettazione e l'utilizzo dei token scaduti per l'autenticazione.
Archiviazione non sicura delle password: L'API memorizza le password in formato testo normale, non crittografato o con hash debole, rendendole vulnerabili agli accessi non autorizzati.
Chiavi di crittografia deboli: L'API utilizza chiavi di crittografia deboli, che possono essere sfruttate dagli aggressori per decrittografare le informazioni sensibili.

Oltre a queste vulnerabilità specifiche delle API, i microservizi possono avere una propria serie di vulnerabilità legate all'autenticazione non funzionante. Un microservizio è considerato vulnerabile se:

Mancanza di autenticazione: Altri microservizi possono accedervi senza richiedere un'autenticazione adeguata, con conseguente accesso non autorizzato.
Token deboli o prevedibili: Il microservizio si basa su token deboli o prevedibili per l'autenticazione, rendendo più facile per gli aggressori spacciarsi per utenti legittimi.

Exemplares de attack: for comprendere meglio le implicazioni dell'autenticazione non funzionante, esaminiamo due scenari di attacco comunemente associati a questa vulnerabilità.

Esempi di autenticazione non funzionante

Scenario #1

Account utente con forza bruta In questo scenario, il meccanismo di autenticazione dell'API consente ai clienti di accedere inviando una richiesta GraphQL con le credenziali utente. Gli aggressori sfruttano il batch di query GraphQL per aggirare la limitazione della velocità e velocizzare gli attacchi di forza bruta. Inviando più richieste di accesso con password diverse, gli aggressori tentano di trovare credenziali valide e ottenere l'accesso non autorizzato agli account utente.

Scenario #2

Acquisizione dell'account tramite e-mail In questo scenario, l'API consente agli utenti di aggiornare i propri indirizzi e-mail senza richiedere la conferma della password corrente. Gli aggressori che riescono a rubare il token di autenticazione possono aggiornare l'indirizzo email della vittima. Successivamente, avviano un flusso di lavoro di reimpostazione della password, sfruttando l'account compromesso e ottenendo efficacemente il pieno controllo.

Come prevenire l'autenticazione non funzionante

La prevenzione delle autenticazioni non funzionanti richiede un approccio proattivo per implementare meccanismi di autenticazione sicuri. Considerate le seguenti misure preventive:

Comprendi i flussi di autenticazione: Assicura che tutti i possibili flussi di autenticazione, come mobile, web e deep link, siano compresi e protetti a fondo. Collabora con gli ingegneri per identificare eventuali flussi mancanti e potenziali vulnerabilità.
Conosci i meccanismi di autenticazione: Acquisisci una comprensione completa dei meccanismi di autenticazione utilizzati nel tuo sistema. È essenziale distinguere tra autenticazione e autorizzazione ed evitare di reinventare la ruota sfruttando gli standard e le migliori pratiche del settore.
Usa standard stabiliti: Implementa l'autenticazione, la generazione di token e l'archiviazione delle password utilizzando standard consolidati anziché reinventare questi componenti. Standard come OAuth e algoritmi di hashing sicuro delle password possono migliorare significativamente la sicurezza.
Gestisci in modo sicuro gli endpoint di recupero/password dimenticata: Gestisci gli endpoint di recupero o la password dimenticata con lo stesso livello di sicurezza degli endpoint di accesso. Implementa efficaci meccanismi di protezione contro la forza bruta, la limitazione della frequenza e il blocco degli account per prevenire tentativi di accesso non autorizzati.
Richiedi una nuova autenticazione: Per operazioni sensibili come la modifica degli indirizzi e-mail o dei numeri di telefono 2FA (Two-Factor Authentication), richiedi agli utenti di autenticarsi nuovamente fornendo la password corrente. Ciò garantisce che solo le persone autorizzate possano eseguire azioni critiche.
Segui le linee guida OWASP: Consulta il cheatsheet di autenticazione OWASP (Open Web Application Security Project) per le migliori pratiche e linee guida sull'implementazione sicura dell'autenticazione.
Implementa l'autenticazione a più fattori: Ove possibile, prendi in considerazione l'implementazione dell'autenticazione a più fattori per aggiungere un ulteriore livello di sicurezza. Ciò può includere metodi come la verifica via SMS, la conferma via e-mail o i token hardware.
Utilizza meccanismi anti-forza bruta: Riduci il credenial stuffing, gli attacchi ai dizionari e gli attacchi di forza bruta implementando meccanismi anti-forza bruta. Questi meccanismi dovrebbero essere più rigorosi rispetto ai normali limiti di frequenza e dovrebbero prevenire attivamente gli attacchi automatici.
Implementa il blocco dell'account e il CAPTCHA: Proteggi gli account utente specifici implementando meccanismi di blocco degli account e sfide CAPTCHA. Queste misure ostacolano gli attacchi di forza bruta mirati ai singoli account utente.
Applica password complessa: Implementa controlli per imporre l'uso di password complesse, compresi i requisiti di complessità e i controlli rispetto alle password di uso comune.
distinguere le chiavi API e l'autenticazione utente: Distingui tra chiavi API e autenticazione utente. Le chiavi API devono essere utilizzate solo per autenticare i client API, non i singoli account utente.

Test dinamici di sicurezza delle applicazioni ResilientX e test di sicurezza delle API

Per risolvere la vulnerabilità dell'API 2:2023 Broken Authentication, ResilientX offre funzionalità avanzate in Dynamic Application Security Testing (DAST) e API Security Testing. Queste soluzioni all'avanguardia aiutano i clienti a identificare e mitigare i rischi associati all'accesso non autorizzato ai dati sensibili. Utilizzando i solidi strumenti di test di sicurezza di ResilientX, le organizzazioni possono migliorare la sicurezza delle API e rafforzare le proprie difese. Ecco come le soluzioni di ResilientX aiutano a rilevare e prevenire l'interruzione dell'autorizzazione a livello di oggetto:

Scansione completa delle vulnerabilità: Gli strumenti di test di sicurezza DAST and ResilientX API eseguono una scansione completa delle vulnerabilità tra gli endpoint API. Questo processo prevede un'analisi meticolosa delle richieste e delle risposte, l'esame degli identificatori degli oggetti e il loro utilizzo nelle chiamate API. Utilizzando tecniche di scansione intelligente, gli strumenti di ResilientX forniscono un'ampia copertura, rilevando efficacemente i punti deboli della sicurezza che gli aggressori potrebbero sfruttare.
Identificazione delle lacune di autorizzazione a livello di oggetto: Le soluzioni di ResilientX analizzano meticolosamente i meccanismi di autorizzazione implementati negli endpoint API per identificare le lacune nell'autorizzazione a livello di oggetto. Esaminando la convalida e l'autorizzazione degli ID degli oggetti, questi strumenti rilevano i casi in cui i controlli adeguati mancano o sono inadeguati, con le seguenti potenziali vulnerabilità. Vengono generati report dettagliati, che evidenziano le aree specifiche in cui esiste un'autorizzazione a livello di oggetto non valida, consentendo alle organizzazioni di dare priorità agli sforzi di riparazione.
Simulazione dell'attacco e valutazione dell'impatto: Gli strumenti di ResilientX vanno oltre l'identificazione delle vulnerabilità simulando attacchi nel mondo reale che sfruttano l'autorizzazione a livello di oggetto non valida. Questa funzionalità di simulazione consente alle organizzazioni di valutare l'impatto e la gravità delle potenziali violazioni. Comprendendo le conseguenze di uno sfruttamento efficace, le organizzazioni possono rafforzare le proprie difese e attuare le contromisure appropriate.
Monitoraggio e conformità continui: Gli strumenti di test di ResilientX offrono funzionalità di monitoraggio e conformità continue per garantire una protezione continua contro le vulnerabilità di autorizzazione a livello di oggetto non funzionante. Le organizzazioni possono stabilire scansioni di sicurezza automatizzate per rilevare nuove istanze di autorizzazione a livello di oggetto non funzionante man mano che le API si evolvono. Questo monitoraggio proattivo consente una correzione tempestiva, riducendo al minimo la finestra di opportunità per gli aggressori di sfruttare le vulnerabilità. Le soluzioni di ResilientX aiutano inoltre le organizzazioni ad aderire agli standard di settore e alle normative di conformità, garantendo che le API soddisfino i requisiti di sicurezza necessari.

Sfruttando le funzionalità Dynamic Application Security Testing e API Security Testing di ResilientX, le organizzazioni ottengono potenti strumenti per rilevare e prevenire le vulnerabilità di autorizzazione a livello di oggetto non funzionante. Con complete funzionalità di scansione delle vulnerabilità, simulazioni di attacchi, revisione sicura del codice, monitoraggio continuo e collaborazione, le organizzazioni possono rafforzare il proprio livello di sicurezza delle API e proteggersi dall'accesso non autorizzato ai dati sensibili.

L'autenticazione interrotta API 2:2023 comporta rischi significativi per la sicurezza e l'integrità delle API e dei microservizi. Comprendendo gli agenti delle minacce, i vettori di attacco, i punti deboli della sicurezza e gli impatti associati all'autenticazione non funzionante, le organizzazioni possono adottare misure proattive per mitigare queste vulnerabilità. L'implementazione di meccanismi di autenticazione sicuri, il rispetto degli standard di settore e l'adozione di misure preventive possono aiutare a proteggere le API da accessi non autorizzati, acquisizioni di account e rischi associati.