AuthProbe: Specification-Driven, Multi-Identity Detection of Broken Object-Level Authorization in Recruitment API

Stellen Sie sich das Internet als eine riesige, geschäftige Stadt vor, in der jedes Gebäude einen anderen Dienst darstellt und in diesen Gebäuden sich Millionen von winzigen, privaten Schließfächern befinden. Einige Schließfächer enthalten Ihre Fotos, andere Ihre Bewerbungen, wieder andere Ihre Krankenakten. In dieser Stadt gibt es Sicherheitskräfte an den Türen, die Ihren Ausweis überprüfen, um sicherzustellen, dass Sie in das Gebäude gehören. Aber hier liegt der knifflige Teil: Nur weil Sie einen gültigen Ausweis besitzen, um das Gebäude zu betreten, bedeutet das noch nicht, dass Sie auch das Recht haben, jedes Schließfach im Inneren zu öffnen. Eine Schwachstelle namens „Broken Object-Level Authorization“ (BOLA) ist wie ein Wachmann, der Ihren Ausweis an der Vordertür prüft, Sie dann aber einfach durch den Flur laufen lässt, um jedes beliebige Schließfach zu öffnen, selbst wenn es Ihnen gar nicht gehört. Dies ist ein riesiges Problem, denn es bedeutet, dass ein Fremder einschleichen und Ihre persönlichen Daten stehlen könnte, ohne Schlösser aufzubrechen oder zu knacken; er muss lediglich danach fragen, und das System sagt – verwirrt – einfach „Ja“.

Seit Jahren versuchen Sicherheitsexperten, bessere Wachleute zu bauen. Sie verwenden „Firewalls“, die nach bekannten Bösewichten suchen, die bestimmte Masken tragen, und sie nutzen „Scanner“, die sich durch das Gebäude bewegen, während sie sich als eine bestimmte Person ausgeben. Aber diese Werkzeuge übersehen oft die wahre Gefahr, denn ein Dieb benötigt keine gruselige Maske oder ein kaputtes Schloss; er muss nur nach einem Schließfach fragen, das ihm nicht gehört, während er einen völlig gültigen Ausweis trägt. Dieses Papier stellt eine neue Art von Sicherheitstester vor: AuthProbe. Betrachten Sie AuthProbe nicht als einen einzelnen Wachmann, sondern als ein Team von Spionen, die in der Lage sind, augenblicklich ihre Identität zu wechseln. Sie gehen nicht nur einmal durch das Gebäude; sie gehen als „Alice“ hindurch, um zu sehen, welche Schließfächer Alice öffnen kann, und wechseln dann sofort zu „Bob“, um zu versuchen, Alices Schließfächer zu öffnen. Wenn Bob Alices Schließfach öffnen kann, weist das System eine fehlerhafte Autorisierung auf, und AuthProbe deckt dies sofort auf.

Die große Idee des Papers: Der Identitätswechselnde Detektiv

Das Papier präsentiert AuthProbe, ein kostenloses Open-Source-Tool, das darauf ausgelegt ist, genau diese Art von Sicherheitslücken in Computersystemen aufzuspüren, die Bewerbungen und Rekrutierungsdaten verarbeiten. Die Forscher entwickelten dieses Tool, weil sie bemerkten, dass bestehende Sicherheitsscanner nicht in der Lage waren, eine sehr hinterlistige Art des Diebstahls zu erfassen.

So funktioniert AuthProbe, erklärt anhand einer einfachen Analogie: Stellen Sie sich eine Bibliothek vor, in der man Bücher ausleihen kann. Ein normaler Sicherheitsscanner würde als „Student A“ hineingehen, ein Buch ausleihen und sagen: „Okay, Student A kann Bücher ausleihen. Alles in Ordnung!“ Aber dieser Scanner weiß nicht, ob Student A auch berechtigt ist, ein reserviertes Buch von „Student B“ auszuleihen.

AuthProbe ist anders. Es beginnt damit, das offizielle Regelwerk der Bibliothek (eine sogenannte OpenAPI-Spezifikation) zu lesen, das auflistet, welche Arten von Büchern es gibt und wie man sie anfordert. Dann bringt es zwei oder mehr „Tester“ mit (nennen wir sie Alice und Bob).

1. Die Entdeckungsphase: AuthProbe fragt Alice: „Welche Bücher liegen in deinem persönlichen Stapel?“ und zeichnet die Liste auf. Es tut dasselbe für Bob. Nun weiß es genau, welche Bücher wem gehören.
2. Der Wechsel: Als Nächstes versucht AuthProbe, über Alice ein Buch auszuleihen, das eigentlich Bob gehört.
3. Der Beweis: Wenn das Bibliothekssystem zu Alice sagt: „Hier ist Bobs Buch“, weiß AuthProbe, dass etwas nicht stimmt. Es rät nicht nur, sondern überprüft es doppelt, indem es Bob bittet, dasselbe Buch abzurufen, um zu sehen, wie die „echte“ Version aussieht. Wenn das Buch, das Alice erhalten hat, mit dem Buch übereinstimmt, das Bob besitzt, hat AuthProbe ein Broken Object-Level Authorization (BOLA)-Leck gefunden.

Was das Tool fand (und was es nicht fand)

Die Forscher testeten AuthProbe an zwei fiktiven Rekrutierungssystemen, die sie in ihrem Labor aufgebaut hatten. Ein System war absichtlich fehlerhaft programmiert, um eine reale Katastrophe nachzuahmen, bei der Millionen von Bewerbern ihre Daten preisgegeben hätten. Das andere System war „gehärtet“, was bedeutet, dass es mit den korrekten Sicherheitsprüfungen versehen wurde.

• Auf dem fehlerhaften System: AuthProbe fand jede einzelne implantierte Schwachstelle. Es zeigte erfolgreich auf, dass „Alice“ die privaten Chatprotokolle und Kontaktdaten von „Bob“ lesen konnte. Es stellte zudem fest, dass das System einfache, vorhersehbare Nummern (wie 1, 2, 3) für IDs verwendete, was bedeutete, dass ein Dieb einfach die nächste Nummer erraten konnte, um mehr Daten zu stehlen.
• Auf dem korrigierten System: AuthProbe fand null Probleme. Es versuchte, Daten zu stehlen, aber das System antwortete korrekt: „Nein, das kannst du nicht sehen.“ Dies ist entscheidend, da es bedeutet, dass das Tool keinen Fehlalarm auslöst; es meldet ein Problem nur dann, wenn es sich absolut sicher ist.

Das Papier misst auch, wie schnell das Tool arbeitet. Die Forscher testeten es mit Systemen, die zwischen 1 und 50 Objekten enthielten. Die Zeit, die der Scan benötigte, stieg linear an: Mit zunehmender Anzahl der Objekte stieg auch die Zeit proportional an. Beispielsweise dauerte der Scan eines Systems mit 50 Objekten etwa 114 Millisekunden (einen winzigen Bruchteil einer Sekunde). Dies deutet darauf hin, dass das Tool schnell genug ist, um automatisch bei jedem Software-Update eines Unternehmens eingesetzt zu werden, quasi als letzte Sicherheitskontrolle, bevor eine neue Version live geht.

Warum das wichtig ist

Das Papier argumentiert, dass die meisten aktuellen Sicherheitstools wie Wachleute sind, die nur nach Menschen in Masken oder mit Waffen suchen. Sie übersehen die Person, die eine gültige Uniform trägt, aber versucht, ein Schließfach zu stehlen, das ihr nicht gehört. AuthProbe behebt dies durch den Trick des „Mehrfach-Identitäts-Verfahrens“. Es beweist, dass man, um diese spezifische Art des Diebstahls zu entdecken, in der Lage sein muss, gleichzeitig zwei verschiedene Personen zu simulieren.

Die Forscher betonen vorsichtig, dass AuthProbe ein Black-Box-Tool ist, was bedeutet, dass es den internen Code des Computers nicht kennen muss, um zu funktionieren; es kommuniziert lediglich von außen mit dem System. Dies macht es sehr nützlich für Unternehmen, die keinen Zugriff auf den Quellcode der verwendeten Software haben. Das Papier räumt jedoch auch dessen Grenzen ein: Es kann nur die Dinge testen, die es sehen und benennen kann. Wenn ein System seine Datenlisten komplett verbirgt oder unvorhersehbare Codes für IDs verwendet, findet AuthProbe möglicherweise nichts zum Testen. Es ist als Partner für andere Sicherheitstools konzipiert, nicht als deren Ersatz.

Kurz gesagt ist AuthProbe ein neuer, automatisierter Weg, um sicherzustellen, dass Sie beim Einloggen auf einer Website nur Ihre eigenen Daten sehen können und nicht die von anderen. Es verwandelt ein komplexes Sicherheitsproblem in eine einfache, wiederholbare Prüfung, die automatisch ablaufen kann, um die privaten Informationen von Arbeitssuchenden vor hinterlistigen Dieben zu schützen, die wissen, wie man die Sicherheitskräfte austrickst.