885 مليون سجل ورقم واحد يتغير في الرابط

ظهر الأسبوع الماضي أن First American، شركة تأمين ملكية عقارية أمريكية كبيرة، كشفت نحو 885 مليون مستند على موقعها: أرقام حسابات بنكية، وأرقام ضمان اجتماعي، وسجلات رهن عقاري، تعود إلى 2003. أي شخص لديه رابط مستند واحد كان يستطيع تغيير رقم في العنوان ورؤية مستند شخص آخر.

لا تسجيل دخول. لا أداة اختراق. مجرد عدّ.

هذا النوع من الأخطاء اسمه الإشارة المباشرة غير الآمنة إلى الكائنات (IDOR)، وهو من أكثر ما أجده شيوعًا:

• كل طلب يجب أن يتحقق أن المستخدم المسجّل مسموح له برؤية هذا السجل بعينه.
• استخدم معرّفات عشوائية لا تُخمَّن للمستندات والروابط، كطبقة إضافية.
• الروابط المشتركة يجب أن تنتهي صلاحيتها وتطلب دخولًا للملفات الحساسة.
• اختبرها بنفسك: ادخل كمستخدم أ وحاول فتح أشياء المستخدم ب.