29.06.2017 @ 10:41 Перевод OWASP Testing Guide. Часть 3.7. owasp, web security Представляю вашему вниманию очередную часть перевода OWASP Testing Guide. В данной статье речь пойдет о механизме блокировки учетных записей. Предыдущие статьи Тестирование: введение и задачи Сбор информации с помощью поисковых систем Определение веб-сервера Поиск информации в метафайлах веб-сервера Определение веб-приложений на сервере Поиск утечек информации в комментариях и метаданных Определение точек входа веб-приложения Составление карты веб-приложения Определение фреймворка веб-приложения Определение веб-приложения Составление карты архитектуры веб-приложения Тестирование конфигурации инфраструктуры веб-приложения Изучение расширений файлов Поиск страрых версий веб-приложения, скрытых файлов и резервных копий Поиск административных интерфейсов Тестирование HTTP методов Тестирование HSTS Тестирование кросс-доменной политики Изучение ролей пользователей Тестирование процесса регистрации Предоставление учетных записей Определение имен пользователей Определение правил генерации имен пользователей Изучение передачи пользовательских данных Тестирование учетных данных по умолчанию Резюме Механизм блокировки учетных записей используется для препятствованию подбора паролей. В основном учетные записи блокируются после 3 или 5 неудачных попыток авторизации. Разблокировка может происходить по истечению определенного периода времени, производится самостоятельно пользователем или при вмешательстве администратора. Механизм блокировки учетных записей требует соблюдения баланса между защитой учетных записей от неавторизованного доступа и защитой пользователя от неправомерной блокировки из-за действий злоумышленника. Обратите внимание, вы должны протестировать все аспекты аутентификации где стоит использовать механизм блокировки учетных записей, например, когда пользователь восстанавливает пароль, отвечая на секретный вопрос. Без правильно реализованого механизма блокировки учетных записей веб-приложение может быть подвержено подбору паролей. Подобрав пароль атакующий может получить доступ к: Конфиденциальной информации: документы, данные пользователя, финансовая и банковская информация, и т.д. Административному интерфейсу, позволяющему изменять веб-приложение, добавлять или удалять пользователей, управлять правами пользователей и прочее. Возможности проведения атаки — закрытый раздел веб-приложения может содержать уязвимости или более продвинутый функционал, недоступный неавторизованным пользователям. Задачи тестирования Оценить противодействие мезанизма блокировки учетных записей подбору паролей. Оценить возможность неавторизованной разблокировки учетной записи. Как тестировать Для проверки механизма блокировки учетных записей необходимо владеть учетной записью, которую можно заблокировать. Если для тестов вам выделили только одну учетную запись для проведения пентеста, то оценку механизма блокировки учетных записей лучше провести в конце пентеста. Для оценки противодействия механизма блокировки учетных записей подбору паролей необходимо попробовать авторизоваться, используя неправильный пароль несколько раз. Затем попробовать авторизоваться с правильным паролем и посмотреть была ли заблокированна учетная запись. Примерный тест выглядит следующим образом: Попробуйте авторизоваться с неправильным паролем 3 раза Успешная авторизация сведетельствует о том, что учетная запись не блокируется после 3 неудачных попыток авторизации Попробуйте авторизоваться с неправильным паролем 4 раза Успешная авторизация сведетельствует о том, что учетная запись не блокируется после 4 неудачных попыток авторизации Попробуйте авторизоваться с неправильным паролем 5 раз При авторизации с правильным паролем получаем сообщение «Ваша учетная запись была заблокирована». Это значит что учетные записи блокируются после 5 неудачных попыток авторизации Попробуйте авторизоваться с правильным паролем спустя 5 минут, снова получаем сообщение о блокировке учетной записи — это значит, что учетная запись не разблокируется автоматически через 5 минут Попробуйте авторизоваться с правильным паролем через 10 минут, снова получаем сообщение о блокировке учетной записи — это значит, что учетная запись не разблокируется автоматически через 15 минут Успешно авторизовались через 15, значит учетная запись автоматически разблокируется в течении 16-30 минут CAPTCHA также может препятствовать подбору паролей, но может содержать свои слабости и потому не должна полностью заменять механизм блокировки учетных записей. Для оценки возможности неавторизованной разблокировки учетной записи необходимо сначала заблокировать учетную запись и определить слабости процесса разблокировки. Обычно для разблокировки используются либо секретный вопрос, либо ссылка для разблокировки, отправляемая по электронной почте. Ссылка для разблокировки должна быть уникальной и использоваться только один, для предотвращения ее предугадывания и повторного использования при подборе паролей. Секретный вопрос и ответ должны быть сложными. При реализации механизма блокировки учетной записи необходимо учитывать: Каков риск подбора паролей? Достаточна ли CAPTCHA для снижения этого риска? Используется ли блокировка на стороне клиента (например, JavaScript)? (Если да, то отключите выполнение JavaScript на время тестов) Количество неудачных попыток авторизации для блокировки. Если порог блокировки слишком низок, то пользователи будут блокироваться слишком часто. Слишком высокий порог блокировки позволяет атакующему провести подбор паролей. В зависимости отцели веб-приложения блокировка должна происходить после 5-10 неудачных попыток авторизации. Как просиходит разблокировка? Вручную администратором — наиболее безопасный способ, но он может быть неудобен для пользователей и отнимает «ценное» время у администраторов. Обратите внимание, что разблокировка должна быть предусмотрена и для администраторов Подобная разблокировка может привести к отказу в обслуживании, если атакующий поставит перед собой цель — заблокировать всех пользователей веб-приложения Автоматическая разблокировка через определенный промежуток времени. Как долго длится блокировка? Этого достаточно для защиты веб-приложения? Блокировка в течении 5-30 минут является хорошим компромисом между безопасностью и удобством пользователей. Самостоятельная разблокировка — как упоминалось ранее, должна быть реализована таким образом, чтобы атакующий не мог самостоятельно разблокировать учетную запись Рекомендации Изучите статью о подборе паролей Противодействие Меры противодействия размещены от наименее до наиболее надежных: Временная блокировка с последующей автоматической разблокировкой Самостоятельная разблокировка (отправляется ссылка на электронную почту, указанную при регистрации) Ручная разблокировка администратором Ручная разблокировка администраторов после успешного подтверждения личности пользователя abychutkin 9446 Web security Читать дальше >>