Compreensão Referências inseguras a objetos diretos

Um estudo da empresa de segurança cibernética Checkmarx descobriu que vulnerabilidades de IDOR estavam presentes em 21% dos aplicativos testados. Outro estudo da OWASP (Projeto de Segurança de Aplicações Web Abertas) descobriram que as vulnerabilidades do IDOR estavam entre os dez principais riscos de segurança de aplicativos da web.

Dada a prevalência de vulnerabilidades de IDOR e o potencial impacto de ataques de IDOR na segurança de dados de uma organização, é importante que as organizações priorizem a detecção e a prevenção de vulnerabilidades de IDOR e implementem medidas de segurança para mitigar o risco de ataques de IDOR. Isso inclui a realização de avaliações de segurança regulares, a implementação de controles de acesso e verificações de autorização, e a conscientização dos funcionários sobre os riscos de vulnerabilidades de IDOR.

O que é referência direta insegura a objetos (IDOR)?

A referência direta a objetos insegura ocorre quando um aplicativo de software permite que um usuário acesse e manipule diretamente um recurso ou objeto sem a devida autorização ou validação. Isso significa que um invasor pode explorar a vulnerabilidade para obter acesso não autorizado a dados ou recursos confidenciais, referenciando diretamente um objeto ou recurso que não deveria estar acessível a ele.

Vulnerabilidades comuns do IDOR

Referências diretas a objetos (IDOR) inseguras representam diversos riscos para um aplicativo de software e seus usuários. Alguns desses riscos incluem:

• Acesso não autorizado: Os invasores podem explorar vulnerabilidades do IDOR para obter acesso a dados ou recursos confidenciais que eles não estão autorizados a visualizar ou manipular.
• Manipulação de dados: Os invasores podem usar o IDOR para manipular ou excluir dados, o que pode resultar em perda ou corrupção de dados.
• Roubo de dados: Os invasores podem usar o IDOR para roubar dados confidenciais, como informações pessoais, registros financeiros ou segredos comerciais.
• Negação de serviço: Os invasores podem usar o IDOR para esgotar os recursos do sistema acessando ou manipulando repetidamente um objeto ou recurso específico, o que pode resultar em falhas ou tempo de inatividade do sistema.
• Danos à reputação: Se um aplicativo de software for conhecido por ter vulnerabilidades de IDOR, isso pode prejudicar a reputação do aplicativo e de seus desenvolvedores, resultando em perda de confiança e credibilidade entre os usuários.

Exemplos de ataques IDOR

Há diversas maneiras pelas quais invasores podem tentar explorar vulnerabilidades de IDOR em um aplicativo de software. Alguns exemplos incluem:

• Aquisição de conta: Um invasor pode tentar realizar um ataque de IDOR modificando o valor do ID na URL para acessar a conta de outro usuário. Por exemplo, se a URL do perfil de um usuário for "exemplo.com/usuário/perfil/1234", o invasor pode modificar o valor de 1234 para acessar o perfil de outro usuário, o que pode conter informações confidenciais ou permitir que ele assuma o controle da conta.
• Acesso não autorizado aos dados: Um invasor pode tentar realizar um ataque de IDOR manipulando o valor do ID na URL para acessar dados aos quais não deveria ter acesso. Por exemplo, se a URL do histórico de pedidos de um usuário for "exemplo.com/pedido/historia/1234", um invasor pode modificar o valor de 1234 para acessar o histórico de pedidos de outro usuário.
• Explorando campos ocultos: Um invasor pode tentar realizar um ataque IDOR explorando campos ocultos em um formulário web. Por exemplo, se um formulário web contiver um campo oculto para um ID de usuário, um invasor pode modificar o valor do campo oculto para acessar ou manipular dados aos quais não deveria ter acesso.
• Ignorando verificações de autorização: Um invasor pode tentar realizar um ataque de IDOR ignorando verificações de autorização para obter acesso a recursos restritos. Por exemplo, se um aplicativo usa IDs sequenciais para referenciar recursos, um invasor pode adivinhar o valor do ID de um recurso restrito e ignorar as verificações de autorização para obter acesso a ele.

Melhores práticas de teste de IDOR

O teste de referências diretas a objetos inseguras (IDOR) envolve a identificação e o teste de todos os objetos ou recursos que podem ser referenciados ou manipulados diretamente por um usuário sem a devida autorização. Aqui estão alguns passos para realizar um teste de IDOR:

1. Identifique todos os objetos ou recursos: Faça uma lista de todos os objetos ou recursos que podem ser referenciados ou manipulados diretamente por um usuário, incluindo URLs, pontos de extremidade de API e parâmetros.
2. Tentativa de acessar recursos restritos: Tentativa de acessar recursos que um usuário não deveria ter acesso. Isso pode incluir a modificação de parâmetros em uma URL ou ponto de extremidade de API para acessar recursos restritos.
3. Tentativa de manipular dados: Tentar manipular dados modificando parâmetros em um URL ou ponto de extremidade de API para acessar e modificar dados que não deveriam ser acessíveis ou modificáveis.
4. Verificar autorização: Verifique se todos os objetos ou recursos exigem autorização adequada antes de serem acessados ou manipulados por um usuário.
5. Código de revisão: Revise o código para garantir que os objetos ou recursos sejam devidamente validados e autorizados antes de serem acessados ou manipulados.
6. Repita o teste: Repita os testes para todos os objetos ou recursos para garantir que nenhuma vulnerabilidade de IDOR seja perdida.
7. Documento e relatório: Documente quaisquer vulnerabilidades encontradas e informe-as à equipe de desenvolvimento para correção.

Considerações legais

Dependendo da jurisdição, os ataques IDOR podem se enquadrar em várias categorias legais, como fraude de computador, acesso não autorizado ou roubo de segredos comerciais.

Nos Estados Unidos, o Lei de Fraude e Abuso de Computador (CFAA) é uma lei federal que criminaliza diversas formas de fraude e hacking relacionados a computadores, incluindo acesso não autorizado a sistemas e redes de computadores. Segundo a CFAA, ataques IDOR podem ser considerados uma forma de acesso não autorizado, o que pode resultar em multas e prisão.

Além das leis federais, muitos estados e países têm suas próprias leis e regulamentos que regem o crime cibernético e a privacidade de dados. Por exemplo, a Regulamento Geral sobre a Proteção de Dados (GDPR) na União Europeia impõe regulamentações rígidas de proteção de dados e privacidade e inclui penalidades severas para violações, incluindo ataques IDOR.

Prevenção de referência direta insegura a objetos

A prevenção de vulnerabilidades de referência direta a objetos (IDOR) inseguras envolve a implementação de medidas de segurança adequadas para garantir que os usuários não possam acessar ou manipular recursos diretamente sem a devida autorização. Aqui estão algumas etapas para evitar IDOR:

1. Implementar controles de acesso: Implemente controles de acesso que restrinjam o acesso aos recursos com base nas permissões e funções do usuário.
2. Use identificadores exclusivos: Use identificadores exclusivos para referenciar objetos ou recursos em vez de depender de valores sequenciais ou fáceis de adivinhar.
3. Validar a entrada do usuário: Valide a entrada do usuário para garantir que ela esteja em conformidade com os formatos esperados e não esteja tentando acessar ou manipular recursos restritos.
4. Use referências indiretas: Use referências indiretas, como IDs de banco de dados ou hashes, para referenciar objetos ou recursos em vez de depender de referências diretas.
5. Implementar verificações de autorização: Implemente verificações de autorização em todos os níveis do aplicativo para garantir que os usuários estejam autorizados a acessar ou manipular recursos.
6. Usar criptografia: Use criptografia para proteger dados e recursos confidenciais contra acesso ou manipulação não autorizados.
7. Teste e audite regularmente: Teste e audite regularmente o aplicativo em busca de vulnerabilidades de IDOR para garantir que elas sejam descobertas e corrigidas em tempo hábil.

Abordagem do BigID para Referência Direta de Objeto Insegura (IDOR)

BigID é uma plataforma de inteligência de dados para privacidade, segurançae governança plataforma que ajuda organizações a prevenir e gerenciar vulnerabilidades de referência direta a objetos (IDOR) inseguras, identificando e classificação de dados sensíveis em toda a organização. Aqui estão algumas maneiras pelas quais o BigID pode ajudar:

• Descoberta de dados: O BigID aproveita tecnologias avançadas de IA e aprendizado de máquina para descobrir e classificar automaticamente dados confidenciais em toda a infraestrutura de uma organização, incluindo bancos de dados, servidores de arquivos, armazenamento em nuvem e aplicativos. Isso pode ajudar as organizações a identificar áreas onde podem existir vulnerabilidades de IDOR e priorizar os esforços de correção.
• Controles de acesso: Aplicativo de inteligência de acesso da BigID aplica controles de acesso para impedir o acesso não autorizado a dados confidenciais. Isso inclui identificar usuários e seus níveis de acesso, definir permissões e políticas de acesso a dados e monitorar a atividade de acesso para detectar e prevenir ataques IDOR.
• Gestão de conformidade: O BigID pode ajudar as organizações a cumprir vários regulamentos de privacidade e segurança de dados, como o GDPR, CCPAe HIPAA. Isso inclui monitorar a atividade de acesso para detectar e prevenir ataques IDOR e gerar relatórios de conformidade para auditorias e registros regulatórios.
• Remediação: Aplicativo de recuperação de dados da BigID fornece recomendações para corrigir vulnerabilidades do IDOR, como melhorar controles de acesso, implementar identificadores exclusivos e validar a entrada do usuário.

Para obter maior visibilidade sobre seus dados confidenciais, aplicar controles de acesso e cumprir regulamentações — Faça uma demonstração individual com a BigID hoje mesmo.

Autor

Alexis Porter

Gerente de marketing de conteúdo

Alexis atua como gerente de marketing de conteúdo da BigID, fornecedora de DSPM líder do setor. Ela é especialista em ajudar startups de tecnologia a criar e aprimorar sua voz - para contar histórias mais convincentes que repercutam em diversos públicos. Ela é bacharel em Redação Profissional e tem mestrado em Comunicação de Marketing pela Universidade de Denver. Alexis mora em Orlando, Flórida.