Controllo degli accessi difettoso: il problema che cerchiamo per primo

Per controllo degli accessi difettoso si intende che un utente può fare qualcosa che non dovrebbe poter fare. È in cima all'OWASP Top 10 (edizione 2021) e gli strumenti automatici lo trovano male, perché non sanno chi dovrebbe vedere cosa.

Come si presenta

• Cambiando un identificativo nell'indirizzo (/fattura/1041 in /fattura/1042) si vede la fattura di qualcun altro.
• Un utente normale chiama direttamente una funzione da amministratore e funziona.
• Un pulsante nascosto lo è solo nell'interfaccia, mentre il server accetta comunque la richiesta.

Perché succede

Il controllo è stato scritto nella schermata e non sul server, oppure è stato dimenticato su uno delle decine di endpoint.

Cosa aiuta

1. Applica i permessi sul server, a ogni richiesta.
2. Nega per impostazione predefinita e consenti in modo esplicito.
3. Testa con almeno due account per ruolo, cercando di passare dall'uno all'altro.

È il test in cui gli approcci grey box rendono di più, e uno dei motivi per cui chiediamo gli account.