AuthProbe: Specification-Driven, Multi-Identity Detection of Broken Object-Level Authorization in Recruitment API

कल्पना कीजिए कि इंटरनेट एक विशाल, हलचल भरे शहर की तरह है जहाँ हर इमारत एक अलग सेवा है, और उन इमारतों के अंदर लाखों छोटे, निजी लॉकर हैं। कुछ लॉकरों में आपकी तस्वीरें हैं, कुछ में आपके नौकरी के आवेदन हैं, और कुछ में आपके मेडिकल रिकॉर्ड हैं। इस शहर में, दरवाजों पर सुरक्षा गार्ड होते हैं जो यह जांचते हैं कि आपका आईडी कार्ड सही है या नहीं ताकि यह सुनिश्चित हो सके कि आप उस इमारत के हकदार हैं। लेकिन पेचीदा बात यह है: सिर्फ इसलिए कि आपके पास इमारत में प्रवेश करने के लिए एक वैध आईडी है, इसका मतलब यह नहीं है कि आपको अंदर के हर लॉकर को खोलने का अधिकार है। "ब्रोकन ऑब्जेक्ट-लेवल ऑथोराइजेशन" (Broken Object-Level Authorization) की खामी एक ऐसे गार्ड की तरह है जो दरवाजे पर आपका आईडी तो चेक करता है, लेकिन फिर आपको गलियारे में टहलने और किसी भी लॉकर को खोलने की अनुमति दे देता है, भले ही वह किसी और का हो। यह एक बहुत बड़ी समस्या है क्योंकि इसका मतलब है कि एक अजनबी बिना कोई ताला तोड़े या ताला खोलने की कोशिश किए, आपके व्यक्तिगत डेटा को चुरा सकता है; वे बस उसे मांगते हैं, और सिस्टम, भ्रमित होकर, "हाँ" कह देता है।

वर्षों से, सुरक्षा विशेषज्ञ बेहतर गार्ड बनाने की कोशिश कर रहे हैं। वे "फायरवॉल" का उपयोग करते हैं जो विशिष्ट मुखौटे पहने जाने वाले ज्ञात बुरे लोगों को ढूंढते हैं, और वे "स्कैनर" का उपयोग करते हैं जो एक व्यक्ति बनकर इमारत के माध्यम से घूमते हैं। लेकिन ये उपकरण वास्तविक खतरे को अक्सर मिस कर देते हैं क्योंकि एक चोर को डरावने मुखौटे या टूटे हुए ताले की आवश्यकता नहीं होती; उसे बस एक वैध आईडी पहनकर उस चीज़ के लिए पूछने की आवश्यकता होती है जो उसकी नहीं है। यह पेपर एक प्रकार के नए सुरक्षा टेस्टर को पेश करता है जिसे AuthProbe कहा जाता है। सोचिए कि AuthProbe केवल एक गार्ड नहीं है, बल्कि जासूसों की एक टीम है जो तुरंत अपनी पहचान बदल सकती है। वे केवल एक बार इमारत के माध्यम से नहीं घूमते; वे "एलिस" के रूप में चलते हैं, देखते हैं कि एलिस कौन से लॉकर खोल सकती है, और फिर तुरंत "बॉब" में बदलकर एलिस के लॉकर खोलने की कोशिश करते हैं। यदि बॉब एलिस का लॉकर खोल सकता है, तो सिस्टम में 'ब्रोकन ऑथोराइजेशन' की खामी है, और AuthProbe इसे तुरंत पकड़ लेता है।

पेपर का बड़ा विचार: पहचान बदलने वाला जासूस

यह पेपर AuthProbe को प्रस्तुत करता है, जो एक मुफ्त, ओपन-सोर्स टूल है जिसे नौकरी के आवेदनों और भर्ती डेटा को संभालने वाले कंप्यूटर सिस्टम में इन विशिष्ट सुरक्षा छिद्रों को खोजने के लिए बनाया गया है। शोधकर्ताओं ने इस टूल को इसलिए बनाया क्योंकि उन्होंने देखा कि मौजूदा सुरक्षा स्कैनर इस तरह की चालाकी भरी चोरी को पकड़ने में विफल रहे थे।

यहाँ बताया गया है कि AuthProbe कैसे काम करता है, एक सरल उपमा का उपयोग करते हुए: कल्पना कीजिए कि एक लाइब्रेरी है जहाँ आप किताबें उधार ले सकते हैं। एक सामान्य सुरक्षा स्कैनर "छात्र ए" के रूप में अंदर जा सकता है, एक किताब चेक आउट कर सकता है, और कह सकता है, "ठीक है, छात्र ए किताबें चेक आउट कर सकता है। सब ठीक है!" लेकिन उस स्कैनर को यह नहीं पता कि क्या छात्र ए को छात्र बी की आरक्षित किताब भी चेक आउट करने की अनुमति है।

AuthProbe अलग है। यह लाइब्रेरी की आधिकारिक नियम पुस्तिका (जिसे OpenAPI स्पेसिफिकेशन कहा जाता है) को पढ़कर शुरू करता है, जिसमें हर प्रकार की किताब और उन्हें कैसे मांगा जाए, इसकी सूची होती है। फिर, यह दो या अधिक "टेस्टर" लाता है (मान लीजिए कि वे एलिस और बॉब हैं)।

1. खोज चरण (The Discovery Phase): AuthProbe एलिस से पूछता है, "आपके व्यक्तिगत ढेर में कौन सी किताबें हैं?" और उस सूची को रिकॉर्ड करता है। यह बॉब के लिए भी वही करता है। अब वह जानता है कि कौन सी किताबें किसकी हैं।
2. बदलाव (The Switch): इसके बाद, AuthProbe एलिस को बॉब की एक किताब चेक आउट करने की कोशिश करने के लिए कहता है।
3. प्रमाण (The Proof): यदि लाइब्रेरी सिस्टम एलिस को बॉब की किताब देता है, तो AuthProbe जान जाता है कि कुछ गलत है। वह केवल अनुमान नहीं लगाता; वह बॉब को वही किताब लाने के लिए कहकर दोबारा जांच करता है ताकि यह देखा जा सके कि "असली" संस्करण कैसा दिखता है। यदि एलिस को मिली किताब उस किताब से मेल खाती है जो बॉब की है, तो AuthProbe ने एक ब्रोकन ऑब्जेक्ट-लेवल ऑथोराइजेशन (BOLA) लीक खोज लिया है।

इस टूल ने क्या पाया (और क्या नहीं पाया)

शोधकर्ताओं ने Auth-Probe का परीक्षण अपने लैब में बनाए गए दो नकली भर्ती सिस्टमों पर किया। एक सिस्टम जानबूझकर टूटा हुआ था ताकि वास्तविक दुनिया की आपदा की नकल की जा सके जहाँ लाखों नौकरी चाहने वालों का डेटा उजागर हो गया था। दूसरा सिस्टम "हार्डन्ड" (hardened) था, जिसका अर्थ है कि इसे सही सुरक्षा जांचों के साथ ठीक किया गया था।

• टूटे हुए सिस्टम पर: Auth-Probe ने हर एक प्लांटेड खामी को ढूंढ निकाला। इसने सफलतापूर्वक दिखाया कि "एलिस" "बॉब" के निजी चैट ट्रांसक्रिप्ट और संपर्क विवरण पढ़ सकती है। इसने यह भी पाया कि सिस्टम आईडी के लिए सरल, अनुमान लगाने योग्य नंबरों (जैसे 1, 2, 3) का उपयोग करता है, जिसका अर्थ है कि एक चोर बस अगले नंबर का अनुमान लगाकर अधिक डेटा चुरा सकता है।
• ठीक किए गए सिस्टम पर: Auth-Probe ने शून्य समस्याएं पाईं। इसने डेटा चुराने की कोशिश की, लेकिन सिस्टम ने सही ढंग से कहा, "नहीं, आप इसे नहीं देख सकते।" यह महत्वपूर्ण है क्योंकि इसका मतलब है कि यह टूल बिना वजह शोर नहीं मचाता; यह केवल तभी समस्या रिपोर्ट करता है जब यह पूरी तरह से आश्वस्त हो।

इस पेपर में यह भी मापा गया कि टूल कितनी तेजी से काम करता है। उन्होंने 1 से 50 आइटम रखने वाले सिस्टम के साथ इसका परीक्षण किया। सिस्टम को स्कैन करने में लगने वाला समय एक सीधी रेखा में बढ़ा: जैसे-जैसे वस्तुओं की संख्या बढ़ी, समय भी आनुपातिक रूप से बढ़ा। उदाहरण के लिए, 50 आइटम वाले सिस्टम को स्कैन करने में लगभग 114 मिलीसेकंड (एक सेकंड का एक छोटा सा हिस्सा) लगे। यह बताता है कि टूल इतना तेज़ है कि इसे कंपनी द्वारा अपने सॉफ़्टवेयर को अपडेट करने के हर बार स्वचालित रूप से उपयोग किया जा सकता है, जो एक नया संस्करण लाइव होने से पहले अंतिम सुरक्षा द्वार के रूप में कार्य करता है।

यह क्यों मायने रखता है

पेपर का तर्क है कि अधिकांश वर्तमान सुरक्षा उपकरण उन गार्डों की तरह हैं जो केवल मास्क पहने या हथियार ले जाने वाले लोगों को देखते हैं। वे उस व्यक्ति को मिस कर देते हैं जो एक वैध वर्दी पहने हुए है लेकिन आपका अपना लॉकर चुराने की कोशिश कर रहा है। Auth-Probe "मल्टीपल आइडेंटिटी" (कई पहचान) के इस ट्रिक का उपयोग करके इसे ठीक करता है। यह साबित करता है कि इस विशिष्ट प्रकार की चोरी को पकड़ने के लिए, आपको एक ही समय में दो अलग-अलग लोगों होने का नाटक करने में सक्षम होना चाहिए।

शोधकर्ता सावधानी बरतते हुए कहते हैं कि Auth-Probe एक ब्लैक-बॉक्स टूल है, जिसका अर्थ है कि इसे काम करने के लिए कंप्यूटर के आंतरिक कोड को देखने की आवश्यकता नहीं है; यह केवल बाहर से सिस्टम से बात करता है। यह इसे उन कंपनियों के लिए बहुत उपयोगी बनाता है जिनके पास उनके द्वारा उपयोग किए जा रहे सॉफ़्टवेयर के सोर्स कोड तक पहुँच नहीं है। हालाँकि, पेपर इसकी सीमाओं को भी स्वीकार करता: यह केवल उन्हीं चीजों का परीक्षण कर सकता है जिन्हें यह देख और नाम दे सकता है। यदि कोई सिस्टम अपनी डेटा सूचियों को पूरी तरह से छिपा देता है या आईडी के लिए गुप्त, अनअनुमानित कोड का उपयोग करता है, तो Auth-Probe परीक्षण के लिए कुछ भी नहीं ढूंढ पाएगा। इसे अन्य सुरक्षा उपकरणों के साथी के रूप में डिज़ाइन किया गया है, न कि उनके विकल्प के रूप में।

संक्षेप में, Auth-Probe एक नया, स्वचालित तरीका है यह सुनिश्चित करने का कि जब आप किसी वेबसाइट पर लॉग इन करते हैं, तो आप केवल अपना डेटा देख सकें, और कोई और नहीं। यह एक जटिल सुरक्षा समस्या को एक सरल, दोहराने योग्य जांच में बदल देता है जिसे स्वचालित रूप से चलाया जा सकता है, जिससे उन चालाक चोरों से नौकरी चाहने वालों की निजी जानकारी सुरक्षित रहती है जो गार्डों को धोखा देने की कला जानते हैं।