V1.11.3 Business Logic Architecture

Requirement:

Verify that all high-value business logic flows, including authentication, session management and access control are thread safe and resistant to time-of-check and time-of-use race conditions.

Explanation:

Требование направлено на обеспечение безопасности  time-of-check and time-of-use  (TOCTOU) в критичных бизнес процессах, таких как аутентификация, управление сессиями и контроль доступа.

1.Thread Safety: Это способность программы корректно и последовательно работать при одновременном выполнении нескольких потоков.В многопоточной среде несколько потоков могут одновременно обращаться к общим ресурсам и изменять их. Обеспечение безопасности потоков предотвращает повреждение данных и неожиданное поведение.

2.TOCTOU (Time-of-Check and Time-of-Use) Race Conditions: TOCTOU возникают при наличии временного разрыва между моментом проверки условия и моментом выполнения соответствующего действия.Злоумышленник может манипулировать условием между моментом проверки и моментом выполнения действия, что приведет к непреднамеренному поведению или уязвимостям в системе безопасности.

3.High-Value Business Logic Flows:К ним относятся такие критически важные функции, как аутентификация, управление сессиями и контроль доступа.Недостатки в этих областях могут привести к несанкционированному доступу, повышению привилегий или другим нарушениям безопасности.

Например, в управлении сессиями в веб-приложении:

• Реализовать механизмы блокировки сессий для предотвращения одновременной модификации одной и той же сессии несколькими потоками.
• Убедитесь, что проверки состояния сессии и прав доступа выполняются в рамках одной атомарной операции для предотвращения race conditions.
• Использовать структуры данных ориентированных на многопоточность для хранения информации о сессиях.
• Использовать соответствующие механизмы синхронизации для безопасного доступа к общим данным.

Remediation:

Чтобы выполнить это требование и обеспечить безопасность критически важных процессов ориентированных на многопотоковое исполнение запросов и защиту в ходе их последовательного исполнения TOCTOU, выполните следующие действия:

Use Thread-Safe Techniques:

• Использовать методы  ориентированные на многопотоковое исполнение запросов, такие как блокировки, mutexes и semaphores, для контроля доступа к общим ресурсам.
• Защищайте критические участки кода, которые обращаются к общим данным или изменяют их, с помощью механизмов синхронизации.

Atomic Operations:

• Используйте атомарные операции, которые выполняют полное действие без прерывания другими потоками.
• Атомарные операции помогают предотвратить возникновение нарушения последовательного исполнения заросов, поскольку обеспечивают выполнение серии действий как единого целого.

Consistent State Checks:

• Убедитесь, что проверки и действия, связанные с критически важными процессами, выполняются в рамках одной транзакции.
• Избегайте ситуаций, когда злоумышленник может манипулировать состоянием условия между его проверкой и использованием.

Use Immutable Data:

• По возможности используйте неизменяемые структуры данных, чтобы снизить вероятность модификации данных несколькими потоками одновременно.

Session Management:

• Реализуйте механизмы управления сессиями, устойчивые к проблемам параллелизма.Используйте уникальные маркеры для идентификации сессий и обеспечьте правильную блокировку и разблокировку сессий при доступе.

Access Control:

• Реализуйте механизмы контроля доступа, которые являются согласованными и обеспечивают зашиту выполнения последовательных серии действий как единого целого.
• Избегайте сценариев, в которых проверки контроля доступа могут быть обойдены путем использования временных уязвимостей.

Testing:

• Проводить тщательное тестирование, в том числе многопоточное, для выявления и устранения потенциальных race conditions  и уязвимостей TOCTOU.

Пример, демонстрирующий, как можно реализовать многопотоковое исполнение для управления сессиями.

import threading

import time

# A simple thread-safe session management class

class SessionManager:

def __init__(self):

self.sessions = {} # A dictionary to store user sessions

self.lock = threading.Lock() # A lock for thread safety

def create_session(self, user_id):

with self.lock:

# Check if the session already exists

if user_id in self.sessions:

return "Session already exists"

# Create a new session

session_token = generate_session_token()

self.sessions[user_id] = session_token

return session_token

def destroy_session(self, user_id):

with self.lock:

# Check if the session exists

if user_id in self.sessions:

del self.sessions[user_id]

return "Session destroyed"

else:

return "Session not found"

def verify_session(self, user_id, session_token):

with self.lock:

# Check if the session exists and the token matches

if user_id in self.sessions and self.sessions[user_id] == session_token:

return "Session is valid"

else:

return "Session is invalid"

# Function to generate a random session token (for demonstration purposes)

def generate_session_token():

return ''.join(random.choice('ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789') for _ in range(32))

# Simulate user sessions

def simulate_user_sessions(session_manager, user_id):

# Simulate session creation

session_token = session_manager.create_session(user_id)

print(f"User {user_id} creates session: {session_token}")

time.sleep(1)

# Simulate session verification

result = session_manager.verify_session(user_id, session_token)

print(f"User {user_id} verifies session: {result}")

time.sleep(1)

# Simulate session destruction

result = session_manager.destroy_session(user_id)

print(f"User {user_id} destroys session: {result}")

time.sleep(1)

if __name__ == '__main__':

num_users = 3

session_manager = SessionManager()

# Simulate multiple users accessing sessions concurrently

threads = []

for user_id in range(num_users):

thread = threading.Thread(target=simulate_user_sessions, args=(session_manager, user_id))

threads.append(thread)

thread.start()

# Wait for all threads to finish

for thread in threads:

thread.join()

В данном примере:

• Класс SessionManager предоставляет методы для создания, проверки и уничтожения сессий.
• Блокировка (self.lock) используется для обеспечения одновременного доступа к данным сессии только одного потока, что предотвращает возникновение race conditions.
• Для демонстрации безопасности многопотоковое исполнения сессий мы моделируем одновременное создание, проверку и уничтожение сессий несколькими пользователями.

Additional:

https://www.cvedetails.com/vulnerability-list/cweid-367/vulnerabilities.html

https://cwe.mitre.org/data/definitions/367.html