Защитено, но недовършено: приложение за транзакции с висока стойност

Предизвикателството

Банка поиска тест от тип „сива кутия“ на уеб приложение за платежни операции от гледната точка на най-високата му стандартна административна роля.

Как се разви

1. Тествахме с предоставен акаунт с най-високата стандартна административна роля.
2. Потвърдихме ефективността на основните защити срещу инжектиране и на проверките за достъп до обекти.
3. Открихме поле от потребителския профил, чиято стойност се експортираше като формула и се изпълняваше при отваряне на електронната таблица.
4. Открихме роля, описана като „самообслужване на профила“, която всъщност позволяваше пълно управление на потребители и роли.
5. Операции с високо въздействие - промяна на дата, повторно изпращане, спиране, маршрутизиране и стартиране на плащания - не изискваха независимо одобрение от второ лице.

Въздействие

Пропуски в разделението на отговорностите можеха да позволят на един оператор да извършва или спира платежни операции без независимо одобрение. Рискът оставаше въпреки силните технически защити на приложението.

Резултат

Докладвахме 16 констатации, свързани с разделението на отговорностите, описанията на ролите и безопасния експорт. Предоставихме конкретен план за одобрение от второ лице и преработка на ролите според принципа на минималните права.