👁‍🗨Hello world~

Пароль верный, а пользователь чужой. OWASP A07: Authentication Failures

• Authentication Failures (ошибки аутентификации) объединяет проблемы, из-за которых приложение позволяет постороннему выдать себя за законного пользователя.

• В OWASP Top 10:2025 категория сохраняет седьмое место и охватывает не только проверку паролей, но и восстановление доступа, многофакторную аутентификацию и управление сессиями.

• Важно не путать аутентификацию и авторизацию. Первая проверяет, кто вы, вторая определяет, какие действия вам разрешены. Войти в чужой аккаунт и получить доступ к чужим данным из своего аккаунта могут позволить совершенно разные ошибки.

• Представим обычный интернет-магазин, пользователь установил длинный пароль со спецсимволами, но такой же использовал на старом форуме. Данные форума утекли, и пара из почты и пароля оказалась у атакующего.

• Теперь пароль даже не нужно подбирать. Атакующий автоматически проверяет готовые пары на других сайтах, если магазин принимает такую пару без дополнительной проверки, он впускает постороннего через обычную форму входа. Эта атака называется credential stuffing.

• Сложность пароля здесь уже ничего не меняет: он известен. Снизить риск помогают MFA, ограничение автоматических попыток входа и проверка новых паролей по базам известных утечек. При этом жёсткая блокировка после нескольких ошибок тоже требует осторожности, иначе атакующий сможет блокировать чужие аккаунты намеренно.

• Но проверкой пароля всё не заканчивается, после входа приложение обычно создаёт сессию, а браузер хранит её идентификатор в cookie. Благодаря этому пользователю не приходится заново вводить пароль при открытии каждой страницы.

• Ещё один пример: пользователь нажимает "Выйти", сайт удаляет cookie из его браузера и показывает форму входа, но оставляет сессию действующей на сервере. Если атакующий раньше получил копию её идентификатора, он сможет продолжить пользоваться аккаунтом.

• Для пользователя выход состоялся, для сервера нет, поэтому недостаточно очистить cookie, при выходе нужно сделать сессию недействительной на сервере. Её срок действия также должен ограничиваться сервером, а не только настройками браузера.

• Аутентификация не сводится к сравнению двух паролей, нужно проверять весь путь, как человек входит в аккаунт, восстанавливает доступ и завершает работу. Удачи!

#OWASP #ВебБезопасность

• Поддержать автора монеткой: @v_meshke