Broken Authentication
Aus IT-Forensik Wiki
Broken Authentication beschreibt eine mangelhafte Implementierung der User Authentifizierung bzw. des Session-Managements z.B. bei Webanwendungen.
Schwachstellen in der Software
- Erlauben von Brute-Force Attacken
- Erlauben von Schwachen Passwörtern
- "Passwort vergessen" Funktion ist fehlerhaft implementiert
- Passwörter sind im Klartext oder mit Schwachen Hash-Algorithmen gespeichert
- Fehlende oder schwache 2FA (Two-factor Authentication)
- Session-ID in URL sichtbar
- Session-ID wird beim erneuten Login nicht neu generiert / gelöscht
Auswirkungen
Falls einem Angreifer z.B. die Session-ID, Keys oder Passwörtern bekannt ist, kann die Identität eines Users oder im schlimmsten Fall des Administrators angenommen werden. Die Sicherheit der Daten ist somit stark gefährdet. Außerdem kann die Applikation für Zwecke des Angreifers missbraucht werden.
Ein Software Entwickler, sowie IT-Security Experte sollten diese Probleme kennen und möglichst vermeiden bzw. entdecken, um die Angriffsfläche für Web Applikationen zu verringern.
