HackerOne वर हल्ला, खाजगी असुरक्षा अहवालांमध्ये प्रवेश करण्याची परवानगी देते

HackerOne प्लॅटफॉर्म, जे सुरक्षा संशोधकांना असुरक्षा ओळखण्याबद्दल विकासकांना माहिती देण्यास आणि यासाठी बक्षिसे प्राप्त करण्यास अनुमती देते, प्राप्त झाले अहवाल तुमच्या स्वतःच्या हॅकिंगबद्दल. संशोधकांपैकी एकाने HackerOne मधील सुरक्षा विश्लेषकाच्या खात्यात प्रवेश मिळवला, ज्यांच्याकडे वर्गीकृत सामग्री पाहण्याची क्षमता आहे, ज्यामध्ये अद्याप निराकरण न केलेल्या भेद्यतांबद्दल माहिती आहे. प्लॅटफॉर्मच्या स्थापनेपासून, HackerOne ने संशोधकांना Twitter, Facebook, Google, Apple, Microsoft, Slack, Pentagon आणि US नेव्हीसह 23 हून अधिक क्लायंटच्या उत्पादनांमधील भेद्यता ओळखण्यासाठी एकूण $100 दशलक्ष दिले आहेत.

मानवी चुकांमुळे खाते ताब्यात घेणे शक्य झाले हे विशेष. संशोधकांपैकी एकाने HackerOne मधील संभाव्य भेद्यतेबद्दल पुनरावलोकनासाठी अर्ज सादर केला. अनुप्रयोगाच्या विश्लेषणादरम्यान, हॅकरओन विश्लेषकाने प्रस्तावित हॅकिंग पद्धतीची पुनरावृत्ती करण्याचा प्रयत्न केला, परंतु समस्या पुनरुत्पादित केली जाऊ शकली नाही आणि अतिरिक्त तपशीलांची विनंती करणारा प्रतिसाद अनुप्रयोगाच्या लेखकास पाठविला गेला. त्याच वेळी, विश्लेषकाच्या लक्षात आले नाही की, अयशस्वी तपासणीच्या परिणामांसह, त्याने अनवधानाने त्याच्या सत्राची सामग्री कुकी पाठवली. विशेषतः, संवादादरम्यान, विश्लेषकाने कर्ल युटिलिटीद्वारे HTTP हेडरसह केलेल्या HTTP विनंतीचे उदाहरण दिले, ज्यामधून तो सत्र कुकीची सामग्री साफ करण्यास विसरला.

संशोधकाने हे निरीक्षण लक्षात घेतले आणि सेवेमध्ये वापरल्या जाणार्‍या मल्टी-फॅक्टर ऑथेंटिकेशनमध्ये न जाता फक्त लक्षात आलेले कुकी मूल्य समाविष्ट करून hackerone.com वरील विशेषाधिकार प्राप्त खात्यामध्ये प्रवेश मिळवण्यात सक्षम झाला. हल्ला शक्य झाला कारण hackerone.com ने सत्राला वापरकर्त्याच्या IP किंवा ब्राउझरशी बंधनकारक केले नाही. समस्याग्रस्त सत्र आयडी लीक अहवाल प्रकाशित झाल्यानंतर दोन तासांनी हटविण्यात आला. या समस्येची माहिती देण्यासाठी संशोधकाला 20 हजार डॉलर्स देण्याचे ठरले.

HackerOne ने भूतकाळातील अशाच प्रकारच्या कुकी लीकच्या संभाव्य घटनेचे विश्लेषण करण्यासाठी आणि सेवा ग्राहकांच्या समस्यांबद्दल मालकीच्या माहितीच्या संभाव्य लीकचे मूल्यांकन करण्यासाठी ऑडिट सुरू केले. ऑडिटने भूतकाळातील लीकचा पुरावा उघड केला नाही आणि निर्धारित केले की समस्या दर्शविणारा संशोधक सेवेमध्ये सादर केलेल्या सर्व प्रोग्राम्सपैकी अंदाजे 5% माहिती मिळवू शकतो जे विश्लेषकासाठी प्रवेशयोग्य होते ज्याची सत्र की वापरली गेली होती.

भविष्यात अशाच हल्ल्यांपासून संरक्षण करण्यासाठी, आम्ही सेशन कीला IP पत्त्यावर बंधनकारक करणे आणि सेशन की फिल्टर करणे आणि टिप्पण्यांमध्ये प्रमाणीकरण टोकन लागू केले. भविष्यात, ते आयपीशी बंधनकारक बदलून वापरकर्त्याच्या उपकरणांवर बंधनकारक करण्याची योजना आखत आहेत, कारण डायनॅमिकरित्या जारी केलेले पत्ते असलेल्या वापरकर्त्यांसाठी आयपीला बंधनकारक करणे गैरसोयीचे आहे. डेटामध्ये वापरकर्त्याच्या प्रवेशाविषयी माहितीसह लॉग सिस्टमचा विस्तार करण्याचा आणि विश्लेषकांसाठी ग्राहक डेटामध्ये ग्रॅन्युलर ऍक्सेसचे मॉडेल लागू करण्याचा निर्णय घेण्यात आला.

स्त्रोत: opennet.ru