24-часов токен на всички погрешни места

Предизвикателството

Платформа за множество клиентски организации в регулиран сектор поиска тест на уеб приложението, API и OAuth удостоверяването с акаунти за няколко потребителски роли.

Как се разви

1. Проверихме уеб приложението, API и OAuth удостоверяването с акаунти за няколко роли.
2. Открихме API токен с валидност 24 часа във фрагмента на URL адреса при SSO вход.
3. Същият тип токен беше достъпен в глобална JavaScript променлива на страницата.
4. Токен можеше да се получи и чрез включения поток resource owner password grant за публичен клиент, с дълготрайни токени за подновяване.
5. Потвърдихме, че изходът от приложението не отнема токените. Откраднат токен можеше да продължи да се използва до изтичането му.
6. Открихме GraphQL крайна точка, която разкриваше схемата въпреки ограничената си функционалност, и работен процес за поръчки, който приемаше статус и дати, зададени от клиента.

Въздействие

Получаването на токен от клиентската част позволяваше достъп до свързаните записи в продължение на 24 часа.

Резултат

Решението обхвана жизнения цикъл на токените: authorization code с PKCE, кратка валидност, отнемане от сървъра и премахване на токените от адресите и глобалните променливи. Добавянето на сървърни проверки на работния процес прекъсна веригата от слабости.