பாதிப்புக்கள் ஓத் |. உங்கள் வலை பயன்பாட்டில் பாதுகாப்பான அங்கீகாரத்தை எவ்வாறு செயல்படுத்த வேண்டும்

இந்த கட்டுரை நன்கு அறியப்பட்ட OAuth பாதிப்புகளை சமாளிக்க வேண்டும். வலை பயன்பாட்டில் பாதுகாப்பான மற்றும் பாதுகாப்பான அங்கீகாரத்தை எவ்வாறு செயல்படுத்துவது என்பது வாசகர்கள் கற்றுக்கொள்வார்கள்.

OAuth ஒரு நம்பகமான நெறிமுறை ஆகும், ஆனால் அதன் பாதுகாப்பு அளவு பெரும்பாலும் அங்கீகாரத்தை செயல்படுத்தும்போது வலை டெவலப்பர்களின் விழிப்புணர்வை பொறுத்தது. இது தகவல் பாதுகாப்பு நிபுணர்களுக்கு மிகவும் முக்கியமானது. அவர்கள் தங்கள் பயனர்களின் கணக்குகளை பாதுகாப்பதற்கான உயர் மட்டத்தை வழங்க வேண்டும். ஏழை விற்பனை oauth ஆபத்து குறைக்க உதவும் பயனுள்ள பயிற்சியாளர்கள் பழக்கப்படுத்தி பெற நேரம் இது.

அறிமுகம்

OAuth 2.0 நெறிமுறை தற்போது பல்வேறு பயன்பாடுகளில் பரவலாக பயன்படுத்தப்படுகிறது. அதை பயன்படுத்தி, ஒரு வசதியான பயனர் இடைமுகம் பயனர்பெயர் மற்றும் கடவுச்சொல்லை உள்ளிட்டு பாரம்பரிய முறைகள் ஒப்பிடும்போது எளிதாக அங்கீகார மற்றும் அங்கீகாரம் கிடைக்கிறது. முறையான மற்றும் சிந்தனையான செயல்பாடுகளுடன், OAuth நெறிமுறை பாரம்பரிய அங்கீகாரத்தை விட பாதுகாப்பானதாக இருக்கும், ஏனென்றால் பயனர்கள் ஒரு குறிப்பிட்ட ஆதாரத்தை அணுக மூன்றாம் தரப்பு விண்ணப்பத்துடன் பயனர்கள் தங்கள் கணக்கியல் தரவை பகிர்ந்து கொள்ள வேண்டிய அவசியமில்லை என்பதால். பயனர்கள் பெரும்பாலும் தங்கள் Google கணக்குகள், பேஸ்புக் அல்லது சென்டர் பயன்படுத்தி உள்நுழைய விரும்புகிறார்கள், அதற்கு பதிலாக நீங்கள் சில வலைத்தளங்களில் பதிவு செய்ய வேண்டும் ஒவ்வொரு முறையும் ஒரு புதிய கணக்கை உருவாக்கும். எனவே, OAuth நெறிமுறை நம் வாழ்க்கையை பெரிதும் எளிதாக்குகிறது.

பொதுவாக, பிரபலமான OAuth சேவை வழங்குநர்கள் மிகவும் நம்பகமானவர்கள். Google அல்லது Facebook கணக்குடன் உள்நுழைக ஒரு குறிப்பிட்ட பாதுகாப்பு உணர்வை ஊக்குவிக்கிறது, அது சரியானது. நெறிமுறை நிபுணர்களால் கவனமாக சோதனை செய்யப்படுகிறது. அனைத்து கிடைக்கக்கூடிய பாதிப்புகளும் எப்போதும் டெவலப்பர் அணியால் சரி செய்யப்படுகின்றன. இருப்பினும், முழுமையான பாதுகாப்பின் உணர்வு தவறானதாக இருக்கும் என்று குறிப்பிடுவது மதிப்பு.

OAuth சேவை வழங்குநர்கள் தங்கள் திட்டங்களின் பாதுகாப்பை வளர்ப்பதற்கு நிறைய காரணங்கள் உள்ளன. உண்மையில், ஆரம்பத்தில் பாதுகாக்கப்பட்ட OAuth சேவை, அதன் நிறுவல் செயல்பாட்டில் தவறாக செயல்படுத்தப்படுகிறது, ஊடுருவல்கள் ஒரு எளிய இலக்கு ஆக முடியும். இத்தகைய முன்னறிவிப்பு பயனர்களின் தனிப்பட்ட தரவுகளின் திருட்டுக்கு வழிவகுக்கும்.

அடுத்து, தங்கள் பயனர்களை அங்கீகரிப்பதற்காக OAuth நெறிமுறைகளை செயல்படுத்த மூன்றாம் தரப்பு பயன்பாடுகளில் சந்தித்த மிக பொதுவான பாதிப்புகளை நீங்கள் கருத்தில் கொள்ள வேண்டும். நெறிமுறை தானாகவே பாதுகாப்பான மற்றும் நம்பகமானதாக இருப்பதை நினைவில் கொள்ள வேண்டும். தவறான செயல்பாட்டிற்குப் பிறகு மட்டுமே, இது ஹேக்கர் தாக்குதல்களுக்கு பாதிக்கப்படக்கூடியது.

OAUTH TOCKEY THEFT REFERER HEADER ஐப் பயன்படுத்தி

OAUTH சேவையகத்தில் பயனரின் சார்பாக விண்ணப்பதாரர் அங்கீகாரத்தை அங்கீகரிக்கும் போது, ஒரு நபர் அதன் அடுத்த காசோலை சேவையகத்திற்கு அனுப்பவும் அனுப்பவும் குறியீடு பெறுகிறார். வேலை செய்யும் போது பயனர் மற்றொரு பக்கத்திற்கு திருப்பி விடப்படுவார் என்றால், HTTP கோரிக்கையின் "referer" header இல் குறியீடு காணப்படும். எனவே, கோட் வெளிப்புற வலைத்தளத்தின் மீது விழும், இது OAUTH சேவையகத்தில் பதிவுசெய்யப்பட்ட பயனர் தரவுகளை அச்சுறுத்தும்.

குறிப்பு: referer header ஒரு http கேள்வி தலைப்பு, இது கோரிக்கை அனுப்பப்படும் எந்த URL புரவலன் அனுப்புகிறது.

இந்த பாதிப்புகளின் விளைவுகளை மென்மையாக்குவதற்கு, டெவலப்பர் அதன் வலை பயன்பாடு எந்த HTML ஊசிகளையும் கொண்டிருக்கவில்லை என்பதை உறுதிப்படுத்த வேண்டும். ஊசி கண்டுபிடிக்கப்பட்டால், தாக்குபவர் அதன் வலை சேவையகத்திற்கு படத்தை குறிச்சொல் எளிதில் அமைக்கலாம் மற்றும் அதை பயனர் திருப்பிவிட ஒரு வழி கண்டுபிடிக்க முடியும். எனவே, HTTP கோரிக்கையின் "referer" header இலிருந்து குறியீட்டை திருடுவதற்கான வாய்ப்பைப் பெறுவார்.

OAuth ToCkey Theft Redirect_uri அளவுரு பயன்படுத்தி

பயன்பாடு OAUTH சேவையகத்திற்கு கோரிக்கை அனுப்புவதன் மூலம் அங்கீகார செயல்முறையைத் தொடங்குகிறது:

https://www.example.com/signin/authorize?...]

வினவல் எப்போதுமே OAUTH சேவையகத்தால் பயன்படுத்தப்படும் "Redirect_URI" அளவுருவை பயனர் ஒப்புதல் அளித்தபின் பயன்பாட்டிற்கு திரும்ப அனுப்பும். இந்த அளவுருவின் மதிப்பு கட்டுப்படுத்தப்படாவிட்டால் அல்லது சரிபார்க்கப்படவில்லை என்றால், தாக்குபவர் அதை மாற்றிக் கொள்ளலாம் மற்றும் அதன் வலைத்தளத்திற்கு கோரிக்கையை திருப்பி, அதன் வலைத்தளத்திற்கு கோரிக்கை திருப்பிவிடலாம், அங்கு டோக்கனை செயலாக்க ஒரு சிறப்பு திட்டத்தை பயன்படுத்துகிறது, இது ஒரு குறிப்பிட்ட ஆதாரத்திற்கான அணுகலைப் பெறும்.

https://www.example.com/signin/authorize? *&dtirect_uri=htttpps://localhost.evil.com.

சில நேரங்களில் ஒத்த URL கள் தடுக்கப்பட்டுள்ளன. தாக்குபவர் திறந்த URL இல் பெறப்பட்ட தரவை திருப்பி விடலாம்:

https://www.example.com/outhity20_authorize.srf ?...

அல்லது இது:

https://www.example.com/outh2/authorize? [...]% irect_uri = https% 3a% 2f% 2fapps.Facebook.com% 2fattacker% 2f.

OAuth ஐ செயல்படுத்தும்போது, வெள்ளை பட்டியலில் முழு களங்களையும் நீங்கள் ஒருபோதும் சேர்க்க முடியாது. "Redirect_uri" க்கு ஒரு சில URL கள் சேர்க்கப்பட வேண்டும், திருப்பி திறக்க கோரிக்கையை திருப்பி விடாது.

குறுக்கு கோரிக்கைகளின் மோசடி

பாதிக்கப்பட்டவருக்கு ஒரு தாக்குபவர் பாதிக்கப்பட்டவர் தனது இணைப்பைக் கிளிக் செய்வதற்கு ஒரு தாக்குதலை வெற்றிகரமாகச் செய்வார், இதனால், அவர் உருவாக்கப் போவதில்லை என்ற கோரிக்கையை உருவாக்குவதற்கு ஒரு தாக்குதலை வென்றெடுக்கலாம். குறுக்கு-வரி கோரிக்கைகளின் மோசடி வழக்கமாக CSRF டோக்கனுடன் மென்மையாகிறது, இது பயனர் அமர்வுடன் தொடர்புடையது. கோரிக்கையை அனுப்பிய ஒரு நபரின் நபரை சரிபார்க்க இது பயன்பாட்டை உதவுகிறது. OAuth நெறிமுறையில் "மாநில" அளவுரு Csrf டோக்கன் என உதவுகிறது.

CSRF தாக்குதல் OAuth மீது மேற்கொள்ளப்படுகிறது எப்படி மதிப்பு மற்றும் "மாநில" அளவுரு பாதிப்பு விளைவுகளை குறைக்க பயன்படுத்த முடியும்.

ஹேக்கர் ஒரு வலை பயன்பாட்டை திறக்கிறது மற்றும் OAuth பயன்படுத்தி சேவை வழங்குநரை அணுக அங்கீகார செயல்முறை தொடங்குகிறது. விண்ணப்பம் வழங்கப்பட வேண்டிய அணுகலுக்கான ஒரு சேவை வழங்குனரைக் கோருகிறது. ஹேக்கர் சேவை வழங்குநருக்கான வலைத்தளத்திற்கு திருப்பி விடப்படுவார், அங்கு நீங்கள் வழக்கமாக அணுகலை அங்கீகரிக்க உங்கள் பயனர்பெயர் மற்றும் கடவுச்சொல்லை உள்ளிட வேண்டும். அதற்கு பதிலாக, ஹேக்கர் கேட்சுகள் மற்றும் இந்த கோரிக்கையை தடுக்கிறது மற்றும் அதன் URL ஐ சேமிக்கிறது. ஹேக்கர் எப்படியோ இந்த URL ஐ திறக்க பாதிக்கப்பட்டவர். பாதிக்கப்பட்டவர் அதன் கணக்கைப் பயன்படுத்தி சேவை வழங்குநரின் கணினியில் நுழைந்தால், அதன் சான்றுகளை ஒரு அங்கீகார குறியீட்டை வழங்குவதற்கு பயன்படுத்தப்படும். அங்கீகாரக் கோட் அணுகல் டோக்கனுக்கு அணுகல். இப்போது பயன்பாட்டில் ஹேக்கர் கணக்கு அங்கீகரிக்கப்பட்டுள்ளது. இது பாதிக்கப்பட்டவரின் கணக்கை அணுகலாம்.

எனவே, "மாநில" அளவுருவைப் பயன்படுத்தி இந்த சூழ்நிலையை நான் எவ்வாறு தடுக்க முடியும்?

பயன்பாடு மூல கணக்கை அடிப்படையாகக் கொண்ட எப்படியாவது ஒரு மதிப்பை உருவாக்க வேண்டும் (எடுத்துக்காட்டாக, பயனர் அமர்வு ஹாஷ் விசையைப் பயன்படுத்தவும்). இது மிகவும் முக்கியம் அல்ல, முக்கிய விஷயம் மதிப்பு தனித்துவமானது மற்றும் அசல் பயனரைப் பற்றிய தனிப்பட்ட தகவல்களைப் பயன்படுத்தி உருவாக்கப்படுகிறது. இது "மாநில" அளவுருவிற்கு ஒதுக்கப்பட்டுள்ளது.

திசை திருப்பும்போது இந்த மதிப்பு சேவை வழங்குனருக்கு பரவுகிறது. இப்போது ஹேக்கர் பாதிக்கப்பட்டவர் URL ஐ திறக்க அழைக்கிறார், இது அவர் தக்க வைத்துக் கொண்டார்.

அங்கீகாரம் குறியீடு வழங்கப்பட்டு, "மாநில" அளவுருவுடன் சேர்ந்து அமர்வில் வாடிக்கையாளரிடம் அனுப்பப்படுகிறது.

வாடிக்கையாளர் ஒரு அமர்வு தகவலின் அடிப்படையில் ஒரு அளவுரு மதிப்பை உருவாக்கி, "மாநில" மதிப்புடன் அதை ஒப்பிட்டு, சேவை வழங்குநருக்கு அங்கீகார கோரிக்கையிலிருந்து அனுப்பப்பட்டார். இந்த மதிப்பு வினவலில் "மாநில" அளவுருவுடன் பொருந்தவில்லை, ஏனெனில் தற்போதைய அமர்வு பற்றிய தகவலின் அடிப்படையில் மட்டுமே இது உருவாக்கப்பட்டது. இதன் விளைவாக, பெறப்பட்ட மதிப்பு கணினி மூலம் ஏற்றுக்கொள்ளப்படவில்லை.

OAuth ஐ செயல்படுத்தும்போது பிற பாதிப்புகள் கண்டறியப்பட்டபோது XSS (Redirect_uri "அளவுருவை பயன்படுத்தி XSS (குறுக்கு-தள ஸ்கிரிப்ட்டிங்), OAuth Private விசை அமைப்பைப் பயன்படுத்தி (ஒரு மொபைல் பயன்பாட்டைக் குறிக்கும் போது) மற்றும் அங்கீகாரம் கோட் விதி மீறல் (எப்போது அங்கீகாரம் கோட் பல அணுகல் டோக்கன்களை வெளியிடுவதற்கு ஒரு முறை பயன்படுத்தப்படலாம்). இந்த பாதிப்புகள் மேலே விவரிக்கப்பட்டதைவிட குறைவான பொதுவானவை, ஆனால் அது அவர்களை குறைவாக ஆபத்தானது அல்ல. டெவலப்பர் அதன் வலை பயன்பாட்டின் நம்பகமான செயல்பாட்டை உறுதிப்படுத்த தேவையான அனைத்து நடைமுறைகளையும் தெரிந்து கொள்ள வேண்டும்.

மொழிபெயர்க்கப்பட்ட கட்டுரை எழுதியவர்: சைமன் சலிபா.

முக்கியமான! கல்வி நோக்கங்களுக்காக மட்டுமே தகவல். சட்டவிரோத நோக்கங்களுக்காக இந்த தகவலைப் பயன்படுத்த வேண்டாம்.

பாதிப்புக்கள் ஓத் |. உங்கள் வலை பயன்பாட்டில் பாதுகாப்பான அங்கீகாரத்தை எவ்வாறு செயல்படுத்த வேண்டும்

மேலும் வாசிக்க