Serie OWASP Top 10 API: Coders Conquer Security - Autorización de nivel de objeto rota

Las amenazas a la ciberseguridad hoy en día son omnipresentes e implacables. La situación es tan grave que intentar seguirles el ritmo una vez que los programas se han implementado se ha vuelto casi imposible. Sin embargo, en esta era de DevSecOps, entrega continua y más datos que nunca, las organizaciones inteligentes están ayudando a sus desarrolladores a convertirse en superestrellas conscientes de la seguridad que ayudan a eliminar las vulnerabilidades comunes antes de que lleguen a producción. Ya hemos abordado vulnerabilidades web, además de nuestros propios 8 principales errores de infraestructura como código, y ahora es momento de conocer el siguiente gran desafío de seguridad de software. ¿Estás listo?

Esta próxima serie de blogs se centrará en algunos de los peores errores de seguridad relacionados con las interfaces de programación de aplicaciones (API). Son tan graves que forman parte de la lista de las principales vulnerabilidades de API del Open Web Application Security Project (OWASP). Dada la importancia de las API para las infraestructuras informáticas modernas, estos son problemas críticos que debes evitar a toda costa en tus aplicaciones y programas.

Un ejemplo perfecto de por qué es esencial utilizar código para aplicar la seguridad se encuentra al examinar la vulnerabilidad de autorización a nivel de objeto rota. Esto ocurre cuando los programadores no definen explícitamente qué usuarios pueden ver objetos y datos, o no proporcionan ninguna forma de verificación para ver, cambiar o realizar otras solicitudes para manipular o acceder a objetos, lo que les permite modificar y acceder a objetos y datos a través de puntos finales de API. Un punto final de API es un punto de contacto, a menudo una URL, que se utiliza para la comunicación entre la propia API y otro sistema. La capacidad de conectividad entre aplicaciones ha impulsado algunos de los programas más queridos del mundo, pero conlleva el riesgo de exponer múltiples puntos finales si no están herméticamente cerrados.

También puede ocurrir cuando los programadores olvidan o heredan propiedades de clases principales, sin darse cuenta de que al hacerlo también omiten un proceso de verificación crítico dentro de su código. Por lo general, se deben incluir comprobaciones de autorización a nivel de objeto para cada función que acceda a una fuente de datos utilizando una entrada del usuario.

¿Crees que ya los conoces y puedes encontrar, corregir y eliminar un error de control de acceso ahora mismo? Participa en el desafío gamificado:

¿Cómo te fue? Si quieres mejorar tu puntuación, ¡sigue leyendo!

¿Cuáles son algunos ejemplos de vulnerabilidades de autorización a nivel de objeto rota?

Las vulnerabilidades de control de acceso a nivel de objeto permiten a los atacantes realizar acciones que no deberían tener permitidas. Podría tratarse de una acción reservada para administradores, como acceder o ver datos confidenciales, o destruir registros. En un entorno altamente seguro, podría incluso significar impedir que nadie vea los registros a menos que esté específicamente autorizado para hacerlo.
Debes tener en cuenta todas las acciones posibles al definir la autorización a nivel de objeto. Por ejemplo, en una API de Java Spring, un punto final con un problema potencial podría verse así:

public boolean deleteOrder(Long id) {
       Order order = orderRepository.getOne(id);
       if (order == null) {
           log.info("No found order");
           return false;
       }
       User user = order.getUser();
       orderRepository.delete(order);
       log.info("Delete order for user {}", user.getId());
       return true;

El punto final de la API elimina pedidos por ID, pero no verifica si este pedido fue realizado por el usuario que ha iniciado sesión actualmente. Esto presenta una oportunidad para que un atacante explote esta laguna y elimine los pedidos de otros usuarios.

Para que las restricciones de acceso seguro se implementen correctamente, el código se vería más así:

public boolean deleteOrder(Long id) {
       User user = userService.getUserByContext();
       boolean orderExist = getUserOrders().stream()
               .anyMatch(order -> (order.getId() == id));
       if (orderExist) {
           orderRepository.deleteById(id);
           log.info("Delete order for user {}", user.getId());
           return true;
       } else {
           log.info("No found order");
           return false;

Eliminación de vulnerabilidades de autorización a nivel de objeto rota

El código de control de acceso no necesita ser excesivamente complicado. En el caso de nuestro ejemplo de entorno de API de Java Spring, se puede solucionar definiendo estrictamente quién puede acceder a los objetos.

Primero, se debe implementar un proceso de verificación para identificar quién está realizando la solicitud:

User user = userService.getUserByContext();

A continuación, debemos asegurarnos de que el ID del objeto exista y pertenezca al usuario que realiza la solicitud:

boolean orderExist = getUserOrders().stream()
               .anyMatch(order -> (order.getId() == id));

Por último, procedemos a eliminar el objeto:

orderRepository.deleteById(id);

Tenga en cuenta que debe asegurarse de que el método de autorización en su código se ajuste a las políticas de usuario y controles de acceso a datos de su organización. Para garantizar la seguridad total, realice comprobaciones que verifiquen que los usuarios con distintos niveles de permisos accedan solo a la información necesaria para su trabajo, evitando que vean o modifiquen datos restringidos. Esto puede revelar vulnerabilidades de control de objetos que se hayan pasado por alto.

Las conclusiones principales de estos ejemplos son: primero, defina cada acción que un usuario pueda realizar con un objeto y, luego, añada controles de acceso robustos directamente en el código. Finalmente, nunca confíe en las propiedades heredadas para realizar esta tarea ni delegue esa autoridad. En su lugar, defina explícitamente los permisos y acciones de usuario en el código para cada tipo de objeto que necesite proteger.

Consulte las páginas del blog de Secure Code Warrior para obtener más información sobre esta vulnerabilidad y cómo proteger a su organización y a sus clientes de los estragos de otros fallos de seguridad. También puede probar una demostración de la plataforma de formación de Secure Code Warrior para mantener todas sus habilidades de ciberseguridad perfeccionadas y actualizadas.