La piattaforma HackerOne, che consente ai ricercatori di sicurezza di informare gli sviluppatori riguardo a vulnerabilità trovate e di ricevere ricompense, ha subito un attacco informatico. Uno dei ricercatori è riuscito ad accedere all'account di un analista di sicurezza di HackerOne, con la possibilità di visualizzare materiali riservati, inclusi dettagli su vulnerabilità non ancora risolte. Da quando esiste la piattaforma, sono stati pagati 23 milioni di dollari ai ricercatori per le vulnerabilità scoperte in più di 100 prodotti di clienti come Twitter, Facebook, Google, Apple, Microsoft, Slack, il Pentagono e la Marina Militare degli Stati Uniti.
È notevole che la cattura dell'account sia stata possibile a causa di un errore umano. Un ricercatore ha inviato una segnalazione su una potenziale vulnerabilità in HackerOne. L'analista di HackerOne, durante la valutazione della segnalazione, ha cercato di replicare il metodo di attacco suggerito, ma non è riuscito a riprodurre il problema e ha inviato una risposta all'autore della segnalazione chiedendo ulteriori dettagli. Tuttavia, l'analista non si è accorto che insieme ai risultati del controllo non riuscito aveva inviato per errore il contenuto del suo cookie di sessione. In particolare, durante il dialogo, l'analista ha fornito un esempio di una richiesta HTTP eseguita con lo strumento curl, inclusi gli header HTTP, dimenticando di ripulire il contenuto del cookie di sessione.
Il ricercatore ha notato questa svista ed è riuscito ad accedere all'account privilegiato sul sito hackerone.com, semplicemente sostituendo il valore del cookie notato, senza dover passare attraverso il processo di autenticazione a più fattori implementato dal servizio. L'attacco è stato reso possibile perché su hackerone.com non era attivato alcun legame della sessione con l'indirizzo IP o il browser dell'utente. L'identificatore di sessione problematico è stato rimosso due ore dopo la pubblicazione del report sulla fuga di dati. È stata decisa una ricompensa di 20.000 dollari per il ricercatore che ha segnalato il problema.
HackerOne ha avviato un audit per analizzare la potenziale origine di simili perdite di cookie nel passato e per valutare le potenziali perdite di informazioni riservate relative ai problemi dei clienti del servizio. L'audit non ha rivelato fatti di perdite nel passato e ha stabilito che il ricercatore che ha messo in luce il problema ha potuto ottenere informazioni su circa il 5% di tutti i programmi presentati nel servizio, ai quali aveva accesso l'analista, la cui chiave di sessione era stata utilizzata.
Per proteggere da attacchi simili in futuro è stata implementata l'associazione della chiave di sessione a indirizzo IP e la filtrazione delle chiavi di sessione e dei token di autenticazione nei commenti. In seguito, si prevede di sostituire l'associazione all'IP con quella ai dispositivi dell'utente, poiché l'associazione all'IP risulta scomoda per gli utenti con indirizzi assegnati dinamicamente. È stato anche deciso di ampliare il sistema dei log con informazioni sull'accesso degli utenti ai dati e di implementare un modello di accesso granulare degli analisti ai dati dei clienti.
Fonte: opennet.ru
