AuthProbe: Specification-Driven, Multi-Identity Detection of Broken Object-Level Authorization in Recruitment API

Immaginate Internet come una città enorme e frenetica dove ogni edificio è un servizio diverso e, all'interno di questi edifici, ci sono milioni di piccoli armadietti privati. Alcuni armadietti contengono le vostre foto, altri le vostre candidature di lavoro e altri ancora le vostre cartelle cliniche. In questa città, ci sono guardie di sicurezza alle porte che controllano il vostro documento d'identità per assicurararsi che abbiate diritto di entrare nell'edificio. Ma ecco la parte complicata: il fatto di avere un documento valido per entrare nell'edificio non significa che abbiate il diritto di aprire ogni armadietto all'interno. Un difetto di "Broken Object-Level Authorization" (Autorizzazione a livello di oggetto interrotta) è come una guardia che controlla il vostro documento alla porta principale, ma poi vi lascia camminare lungo il corridoio e aprire qualsiasi armadietto desiderate, anche se appartiene a qualcun altro. Questo è un problema enorme perché significa che uno sconosciuto potrebbe intrufolarsi e rubare i vostri dati personali senza rompere serrature o scassinare nulla; deve solo chiederli, e il sistema, confuso, risponde "sì".

Per anni, gli esperti di sicurezza hanno cercato di costruire guardie migliori. Usano "firewall" che cercano malintenzionati con maschere specifiche, e usano "scanner" che attraversano l'edificio fingendo di essere una sola persona. Ma questi strumenti spesso perdono il vero pericolo perché un ladro non ha bisogno di una maschera spaventosa o di una serratura rotta; ha solo bisogno di chiedere un armadietto che non sia il suo indossando un documento perfettamente valido. Questo articolo presenta un nuovo tipo di tester di sicurezza chiamato AuthProbe. Pensate ad AuthProbe non come a una singola guardia, ma come a una squadra di spie capaci di cambiare istantaneamente identità. Non si limitano a percorrere l'edificio una volta; lo percorrono come "Alice", vedono quali armadietti può aprire Alice, poi cambiano istantaneamente in "Bob" e provano ad aprire gli armadietti di Alice. Se Bob può aprire l'armadietto di Alice, il sistema presenta un difetto di autorizzazione interrotta e AuthProbe lo cattura immediatamente.

La grande idea del documento: Il detective che cambia identità

Il documento presenta AuthProbe, uno strumento gratuito e open-source progettato per dare la caccia a questi specifici buchi di sicurezza nei sistemi informatici che gestiscono candidature di lavoro e dati di reclutamento. I ricercatori hanno costruito questo strumento perché hanno notato che gli scanner di sicurezza esistenti non riuscivano a rilevare un tipo di furto molto subdolo.

Ecco come funziona AuthProbe, usando un'analogia semplice: Immaginate una biblioteca dove potete prendere in prestito dei libri. Uno scanner di sicurezza normale potrebbe entrare come "Studente A", prendere in prestito un libro e dire: "Ok, lo Studente A può prendere in prestito libri. Tutto in regola!". Ma quello scanner non sa se lo Studente A ha anche il permesso di prendere in prestito un libro riservato allo "Studente B".

AuthProbe è diverso. Inizia leggendo il libro delle regole ufficiali della biblioteca (chiamato OpenAPI specification), che elenca ogni tipo di libro e come richiederlo. Poi, introduce due o più "tester" (chiamiamoli Alice e Bob).

1. La Fase di Scoperta: AuthProbe chiede ad Alice: "Quali libri ci sono nella tua pila personale?" e ne registra l'elenco. Fa lo stesso con Bob. Ora sa esattamente quali libri appartengono a chi.
2. Lo Scambio: Successivamente, AuthProbe chiede ad Alice di provare a prendere in prestito un libro che appartiene a Bob.
3. La Prova: Se il sistema della biblioteca dice ad Alice: "Ecco il libro di Bob", AuthProbe sa che qualcosa non va. Non si limita a indovinare; ricontrolla chiedendo a Bob di recuperare lo stesso libro per vedere quale sia la versione "reale". Se il libro che Alice ha ottenuto corrisponde al libro che possiede Bob, AuthProbe ha trovato una perdita di Broken Object-Level Authorization (BOLA).

Cosa ha scoperto lo strumento (e cosa non ha scoperto)

I ricercatori hanno testato AuthProbe su due sistemi di reclutamento fittizi che hanno costruito nel loro laboratorio. Un sistema era intenzionalmente guasto per simulare un disastro del mondo reale in cui milioni di candidati avevano i propri dati esposti. L'altro sistema era "indurito", ovvero corretto con i giusti controlli di sicurezza.

• Sul Sistema Guasto: AuthProbe ha trovato ogni singolo difetto inserito. Ha dimostrato con successo che "Alice" poteva leggere le trascrizioni delle chat private e i dettagli di contatto di "Bob". Ha anche scoperto che il sistema utilizzava numeri semplici e prevedibili (come 1, 2, 3) per gli ID, il che significava che un ladro avrebbe potuto semplicemente indovinare il numero successivo per rubare altri dati.
• Sul Sistema Corretto: AuthProbe ha trovato zero problemi. Ha cercato di rubare dati, ma il sistema ha risposto correttamente: "No, non puoi vedere questo". Questo è fondamentale perché significa che lo strumento non dà falsi allarmi; segnala un problema solo quando ne è assolutamente sicuro.

Il documento misura anche la velocità dello strumento. Lo hanno testato con sistemi contenenti tra 1 e 50 elementi. Il tempo necessario per scansionare è cresciuto in linea retta: all'aumentare del numero di elementi, il tempo aumentava proporzionalmente. Ad esempio, scansionare un sistema con 50 elementi ha richiesto circa 114 millisecondi (una frazione minuscola di secondo). Ciò suggerisce che lo strumento è abbastanza veloce da essere utilizzato automaticamente ogni volta che un'azienda aggiorna il proprio software, agendo come un ultimo cancello di sicurezza prima che una nuova versione vada online.

Perché questo è importante

Il documento sostiene che la maggior parte degli attuali strumenti di sicurezza sono come guardie che cercano solo persone con maschere o che trasportano armi. Perdono di vista la persona che indossa un'uniforme valida ma sta cercando di rubare un armadietto che non è il suo. AuthProbe risolve questo problema usando il trucco della "doppia identità". Dimostra che per catturare questo tipo specifico di furto, è necessario essere in grado di fingere di essere due persone diverse contemporaneamente.

I ricercatori precisano che AuthProbe è uno strumento black-box, il che significa che non ha bisogno di vedere il codice interno del computer per funzionare; comunica con il sistema dall'esterno. Questo lo rende molto utile per le aziende che non hanno accesso al codice sorgente del software che stanno utilizzando. Tuttavia, il documento ammette anche i suoi limiti: può testare solo le cose che può vedere e nominare. Se un sistema nasconde completamente le sue liste di dati o utilizza codici segreti e non indovinabili per gli ID, AuthProbe potrebbe non trovare nulla da testare. È progettato per essere un partner di altri strumenti di sicurezza, non un sostituto.

In breve, AuthProbe è un nuovo modo automatizzato per garantire che, quando accedete a un sito web, possiate vedere solo i vostri dati e non quelli di nessun altro. Trasforma un complesso problema di sicurezza in un controllo semplice e ripetibile che può essere eseguito automaticamente, mantenendo al sicuro le informazioni private dei cercatori di lavoro dai ladri subdoli che sanno come ingannare le guardie.