Broken Authentication: Unterschied zwischen den Versionen
Aus IT-Forensik Wiki
(Die Seite wurde neu angelegt: „mini Broken Authentication beschreibt eine mangelhafte Implementierung der User Authentifizierung bzw. des Session-Manageme…“) |
Keine Bearbeitungszusammenfassung |
||
| Zeile 12: | Zeile 12: | ||
'''Auswirkungen''' | '''Auswirkungen''' | ||
Falls einem Angreifer z.B. die Session-ID, Keys oder Passwörtern bekannt ist, kann die Identität eines Users oder im schlimmsten Fall des Administrators angenommen werden. Die Sicherheit der Daten ist somit stark gefährdet. Außerdem kann die Applikation für Zwecke des Angreifers missbraucht werden. | Falls einem Angreifer z.B. die Session-ID, Keys oder Passwörtern bekannt ist, kann die Identität eines Users oder im schlimmsten Fall des Administrators angenommen werden. Die Sicherheit der Daten ist somit stark gefährdet. Außerdem kann die Applikation für Zwecke des Angreifers missbraucht werden. | ||
Ein Software Entwickler, sowie IT-Security Experte sollten diese Probleme kennen und möglichst vermeiden bzw. entdecken, um die Angriffsfläche für Web Applikationen zu verringern. | Ein Software Entwickler, sowie IT-Security Experte sollten diese Probleme kennen und möglichst vermeiden bzw. entdecken, um die Angriffsfläche für Web Applikationen zu verringern. | ||
Version vom 25. Januar 2020, 15:45 Uhr
Broken Authentication beschreibt eine mangelhafte Implementierung der User Authentifizierung bzw. des Session-Managements z.B. bei Webanwendungen.
Schwachstellen in der Software
- Erlauben von Brute-Force Attacken
- Erlauben von Schwachen Passwörtern
- "Passwort vergessen" Funktion ist fehlerhaft implementiert
- Passwörter sind im Klartext oder mit Schwachen Hash-Algorithmen gespeichert
- Fehlende oder schwache 2FA (Two-factor Authentication)
- Session-ID in URL sichtbar
- Session-ID wird beim erneuten Login nicht neu generiert / gelöscht
Auswirkungen
Falls einem Angreifer z.B. die Session-ID, Keys oder Passwörtern bekannt ist, kann die Identität eines Users oder im schlimmsten Fall des Administrators angenommen werden. Die Sicherheit der Daten ist somit stark gefährdet. Außerdem kann die Applikation für Zwecke des Angreifers missbraucht werden.
Ein Software Entwickler, sowie IT-Security Experte sollten diese Probleme kennen und möglichst vermeiden bzw. entdecken, um die Angriffsfläche für Web Applikationen zu verringern.
