Sicherheit und Hacking

Welche Arten von Angriffsmöglichkeiten gibt es?

Broken Access Controll

Was ist broken Access Controll?

Broken Access Control ist ein weit verbreitetes Sicherheitsproblem in Informationssystemen und Webanwendungen. Dieses Problem entsteht, wenn die Implementierung der Zugriffskontrolle nicht effektiv ist und es Benutzern erlaubt, auf Daten oder Funktionen zuzugreifen, zu denen sie keine Berechtigung haben. Das Grundprinzip der Zugriffskontrolle besteht darin, sicherzustellen, dass Benutzer nur auf diejenigen Ressourcen zugreifen können, für die sie autorisiert sind. Broken Access Control führt dazu, dass diese Kontrollen mangelhaft oder nicht existent sind.

Beispiel

Um das Konzept von Broken Access Control zu veranschaulichen, betrachten wir ein Beispiel im Kontext einer Online-Shop-Anwendung. Diese Anwendung ermöglicht Benutzern, Produkte zu kaufen und ihre Bestellhistorie einzusehen. Angenommen, nach der Anmeldung kann ein Benutzer auf seine eigenen Bestellungen zugreifen, was eine beabsichtigte und autorisierte Funktion ist.

Das Problem

Bei Broken Access Control kann ein Benutzer möglicherweise durch einfaches Ändern der URL oder durch andere Manipulationen auf die Bestellungen anderer Kunden zugreifen. Dies stellt eine erhebliche Sicherheitslücke dar, da sensible Informationen offengelegt werden könnten, wie beispielsweise Namen, Adressen und Bestellverlauf anderer Kunden.

Ursachen von Broken Access Control

Broken Access Control kann auf verschiedene Weisen auftreten. Hier sind einige gängige Ursachen:

Unzureichende Berechtigungsprüfung: Wenn eine Anwendung nicht ordnungsgemäß überprüft, ob ein Benutzer die erforderlichen Berechtigungen hat, können nicht autorisierte Zugriffe auftreten.

Fehlende Sitzungsverwaltung: Wenn Sitzungen nicht sicher verwaltet werden, kann es vorkommen, dass ein Benutzer auf die Sitzung eines anderen Benutzers zugreifen kann, wodurch die Integrität des Systems gefährdet wird.

Direkter Zugriff auf URLs oder Endpunkte: Wenn URLs oder API-Endpunkte nicht angemessen geschützt sind, können Benutzer diese direkt aufrufen, ohne die notwendigen Berechtigungen zu besitzen.

Mangelnde Überprüfung von Identitäten: Wenn die Identität eines Benutzers nicht ausreichend überprüft wird, kann dies zu unautorisierten Zugriffen führen.

Behebung von Broken Access Control:

Um Broken Access Control zu beheben, müssen angemessene Sicherheitsmaßnahmen ergriffen werden:

Korrekte Berechtigungsprüfung: Stellen Sie sicher, dass jede Anfrage auf Zugriff ordnungsgemäß überprüft wird, und verweigern Sie den Zugriff, wenn keine Berechtigung vorliegt.

Sichere Sitzungsverwaltung: Implementieren Sie eine sichere Verwaltung von Benutzersitzungen, um den Zugriff auf fremde Sitzungen zu verhindern.

URLs und Endpunkte schützen: Schränken Sie den direkten Zugriff auf URLs und API-Endpunkte ein und prüfen Sie, ob der Benutzer die erforderlichen Berechtigungen hat.

Identitätsüberprüfung: Stellen Sie sicher, dass die Identität eines Benutzers ordnungsgemäß verifiziert wird, um sicherzustellen, dass nur autorisierte Personen auf bestimmte Ressourcen zugreifen können.