V4.2.1 Operation Level Access Control

Requirement:#

Verify that sensitive data and APIs are protected against Insecure Direct Object Reference (IDOR) attacks targeting creation, reading, updating and deletion of records, such as creating or updating someone else's record, viewing everyone's records, or deleting all records.

Explanation:#

Функции авторизации системы не препятствуют тому, чтобы один пользователь получил доступ к данным или записи другого пользователя путем изменения значения ключа, идентифицирующего данные.

Remediation:#

Вот несколько шагов для устранения атак Insecure Direct Object Reference (IDOR):

Реализуйте аутентификацию и авторизацию: убедитесь, что у пользователей есть надлежащие учетные данные и разрешения для доступа к конфиденциальным данным и API.
Используйте надлежащую проверку ввода: проверяйте ввод, чтобы предотвратить несанкционированный доступ к конфиденциальным данным и API. Это может включать проверку того, что входные данные имеют правильный тип и длину, а также проверку того, что они находятся в ожидаемом диапазоне.
Реализуйте шифрование данных: шифруйте конфиденциальные данные перед их сохранением или передачей. Это затрудняет доступ злоумышленника к конфиденциальным данным, если он получает несанкционированный доступ к базе данных или системе.
Используйте рандомизированные идентификаторы: вместо последовательных идентификаторов для записей используйте рандомизированные идентификаторы, которые нелегко угадать. Это усложняет злоумышленнику доступ к конфиденциальным данным или API, угадывая идентификаторы.
Мониторинг использования API: отслеживайте использование API и ведите журналы вызовов API. Это упрощает обнаружение и реагирование на несанкционированный доступ к конфиденциальным данным и API.
Регулярно проводите оценки безопасности: регулярно проводите оценки безопасности, чтобы выявить потенциальные уязвимости и устранить их, прежде чем злоумышленники смогут их использовать. Обучайте сотрудников: обучайте сотрудников важности безопасности и тому, как выявлять потенциальные инциденты безопасности и сообщать о них.

Эти шаги помогут защитить конфиденциальные данные и API-интерфейсы от атак с небезопасной прямой ссылкой на объект (IDOR), но важно сохранять бдительность и следить за последними рекомендациями по безопасности, чтобы обеспечить постоянную защиту конфиденциальных данных.

Вот пример кода на Python, который реализует некоторые шаги исправления:

Пример реализации защиты от IDOR-аттак

import hashlib
import random

def generate_random_id():
    """Generate a randomized ID for a record."""
    random_bytes = str(random.getrandbits(256)).encode()
    return hashlib.sha256(random_bytes).hexdigest()

def create_record(data, user_id):
    """Create a new record for the given data."""
    # Check that the user has permission to create a record
    if not has_permission(user_id, 'create_record'):
        return "Permission denied."

    # Validate the input data
    if not validate_input(data):
        return "Invalid input data."

    # Encrypt the sensitive data before storing it
    encrypted_data = encrypt_data(data)

    # Use a randomized ID for the record
    record_id = generate_random_id()

    # Store the record in the database
    store_record(record_id, encrypted_data)

def view_record(record_id, user_id):
    """View the record with the given ID."""
    # Check that the user has permission to view the record
    if not has_permission(user_id, 'view_record'):
        return "Permission denied."

    # Get the encrypted data for the record
    encrypted_data = get_record(record_id)

    # Decrypt the data and return it
    return decrypt_data(encrypted_data)

def update_record(record_id, data, user_id):
    """Update the record with the given ID."""
    # Check that the user has permission to update the record
    if not has_permission(user_id, 'update_record'):
        return "Permission denied."

    # Validate the input data
    if not validate_input(data):
        return "Invalid input data."

    # Encrypt the sensitive data before updating it
    encrypted_data = encrypt_data(data)

    # Update the record in the database
    update_record(record_id, encrypted_data)

def delete_record(record_id, user_id):
    """Delete the record with the given ID."""
    # Check that the user has permission to delete the record
    if not has_permission(user_id, 'delete_record'):
        return "Permission denied."

    # Delete the record from the database
    delete_record(record_id)

Этот код реализует аутентификацию и авторизацию, проверку ввода, шифрование данных, рандомизированные идентификаторы и ведение журнала использования API. Функции has_permission, validate_input, encrypt_data, decrypt_data, store_record, get_record, update_record и delete_record должны быть реализованы в соответствии с конкретными требованиями вашего приложения.

Additional:#

https://cwe.mitre.org/data/definitions/639.html