Γιατί ξεκινά εδώ το M4

Οι εφαρμογές ιστού είναι η μεγαλύτερη επιφάνεια των περισσότερων οργανισμών (L12 §2) και
το συνηθέστερο σημείο πρώτης εισόδου.

Αυτό το μάθημα δεν είναι κατάλογος επιθέσεων. Είναι το μοντέλο που κάνει τις επιθέσεις
προβλέψιμες — γιατί σχεδόν όλες προκύπτουν από μία ιδέα, και αν την καταλάβεις δεν
χρειάζεται να απομνημονεύσεις τις υπόλοιπες.

Μαθησιακοί στόχοι

• Περιγράφει την ανατομία αιτήματος και απάντησης, και τι ελέγχει ο καθένας
• Εξηγεί γιατί το HTTP δεν θυμάται και πώς η εφαρμογή προσποιείται ότι θυμάται
• Διατυπώνει το όριο εμπιστοσύνης και εντοπίζει τι βρίσκεται εκτός του
• Εξηγεί γιατί ο έλεγχος στην πλευρά του πελάτη δεν είναι ασφάλεια
• Εξηγεί τι είναι — και τι δεν είναι — ο κατάλογος OWASP Top 10

Το HTTP είναι απλό: ο πελάτης στέλνει αίτημα, ο διακομιστής επιστρέφει απάντηση. Τέλος.

Το αίτημα έχει τέσσερα μέρη:

Κοίτα τη δεξιά στήλη. Είναι η ίδια λέξη τέσσερις φορές.

Η απάντηση έχει τρία:

Στο L15 §6 διάβασες ήδη κεφαλίδες απάντησης ως απαρίθμηση. Τώρα ξέρεις τι είναι.

Κάθε αίτημα είναι ανεξάρτητο. Ο διακομιστής, από μόνο του, δεν έχει τρόπο να ξέρει ότι το
αίτημα που μόλις ήρθε προέρχεται από τον ίδιο άνθρωπο με το προηγούμενο.

Αυτό δεν είναι ελάττωμα — είναι σχεδιαστική επιλογή που έκανε το Web να κλιμακωθεί. Είναι όμως
η πηγή σχεδόν κάθε προβλήματος ταυτοποίησης που θα συναντήσεις.

Αφού το πρωτόκολλο δεν θυμάται, η εφαρμογή προσποιείται ότι θυμάται: σου δίνει ένα
αναγνωριστικό, και εσύ το επιστρέφεις σε κάθε αίτημα.

Τι έχουν κοινό και τα τρία: είναι κάτι που στέλνει ο πελάτης. Δηλαδή ανήκουν στη δεξιά
στήλη της §1.

Από εδώ προκύπτουν άμεσα τα ερωτήματα που θα κάνεις σε κάθε εφαρμογή: Μπορεί να μαντευτεί;
Μπορεί να κλαπεί; Λήγει; Ακυρώνεται όταν αποσυνδέεσαι; Αλλάζει όταν συνδέεσαι;

Αν κρατήσεις μία πρόταση από ολόκληρο το M4:

Ο διακομιστής βλέπει μια σειρά από bytes που ισχυρίζονται ότι είναι αίτημα. Δεν βλέπει
πρόγραμμα περιήγησης, δεν βλέπει φόρμα, δεν βλέπει άνθρωπο. Το πρόγραμμα περιήγησης είναι
σύμβαση ευγενείας, όχι μηχανισμός επιβολής.

Πράγματα που φαίνονται αξιόπιστα και δεν είναι:

Η προτελευταία γραμμή είναι η σοβαρότερη και η συνηθέστερη. Το να μη δείχνεις μια επιλογή δεν
την απενεργοποιεί. Αν ο έλεγχος δικαιωμάτων γίνεται στο μενού και όχι στη λειτουργία, η
λειτουργία είναι προσβάσιμη σε όποιον ξέρει το όνομά της.

Η συνέπεια για τον έλεγχο στην πλευρά του πελάτη

Είναι χρήσιμος — δίνει άμεση ανατροφοδότηση και γλιτώνει αιτήματα. Απλώς δεν εμποδίζει
τίποτα, γιατί ο επιτιθέμενος δεν χρησιμοποιεί τη φόρμα σου.

Ο έλεγχος που μετράει γίνεται στον διακομιστή, σε κάθε αίτημα, ανεξάρτητα από το τι
υποτίθεται ότι έστειλε το πρόγραμμα περιήγησης.

Δεν απομνημονεύεις κατάλογο επιθέσεων. Οι περισσότερες προκύπτουν από τέσσερις αστοχίες.

Α. Η είσοδος ερμηνεύεται ως εντολή

Δεδομένα από τον χρήστη καταλήγουν κάπου που τα εκτελεί αντί να τα αποθηκεύσει: σε ερώτημα
βάσης, σε εντολή συστήματος, σε σελίδα που θα δει άλλος χρήστης.

Είναι ακριβώς το σφάλμα του τηλεφωνικού δικτύου που είδες στο μουσείο: δεν υπάρχει
διαχωρισμός ανάμεσα σε «αυτό που λέει ο χρήστης» και «αυτό που διατάζει το σύστημα». Πενήντα
χρόνια, ίδιο λάθος, άλλο μέσο.

Η γενική άμυνα: τα δεδομένα δεν συνενώνονται ποτέ με εντολές. Παραμένουν δεδομένα, και ο
διερμηνέας ενημερώνεται ξεχωριστά τι είναι εντολή. Και όταν πάνε στην έξοδο, κωδικοποιούνται
για το πλαίσιο στο οποίο μπαίνουν.

Β. Η εξουσιοδότηση δεν ελέγχεται

Η εφαρμογή ξέρει ποιος είσαι, αλλά δεν ελέγχει αν δικαιούσαι το συγκεκριμένο πράγμα.

Το κλασικό: αλλάζεις ένα αναγνωριστικό σε μια διεύθυνση και βλέπεις τα δεδομένα άλλου. Η
ταυτοποίηση δούλεψε — η εξουσιοδότηση δεν έγινε.

Η γενική άμυνα: ο έλεγχος γίνεται ανά ενέργεια και ανά αντικείμενο, στον διακομιστή,
και η προεπιλογή είναι άρνηση. Το ίδιο deny-by-default του L03 §2.

Γ. Η κατάσταση μπορεί να πλαστογραφηθεί

Το αναγνωριστικό της §2 μαντεύεται, δεν λήγει, δεν αλλάζει μετά τη σύνδεση, ή ταξιδεύει
απροστάτευτο.

Δ. Η ρύθμιση εκθέτει ό,τι δεν έπρεπε

Λεπτομερή μηνύματα σφάλματος, διεπαφές διαχείρισης προσβάσιμες, εφεδρικά αρχεία, κεφαλίδες
ασφαλείας που λείπουν, προεπιλογές που έμειναν.

Είναι η κατηγορία που εντοπίζεις χωρίς να επιτεθείς — και συχνά η πιο άμεσα διορθώσιμη.

Θα τον συναντήσεις παντού. Είναι χρήσιμος και παρεξηγείται συστηματικά.

Τι είναι: έγγραφο ευαισθητοποίησης, που κατατάσσει τις συχνότερες και σοβαρότερες
κατηγορίες αστοχίας με βάση δεδομένα από τον κλάδο. Ενημερώνεται περιοδικά· οι κατηγορίες
συγχωνεύονται και μετονομάζονται μεταξύ εκδόσεων. ⧗ ΑΠΑΙΤΕΙ ΕΠΑΛΗΘΕΥΣΗ — η τρέχουσα έκδοση
και τα ακριβή ονόματα κατηγοριών.

Τι δεν είναι:

Είναι δέκα κατηγορίες, όχι δέκα δοκιμές. Δεν σου λέει τι να δοκιμάσεις, με ποια σειρά, ή
πότε έχεις τελειώσει. Ένας έλεγχος που «κάλυψε το Top 10» δεν έχει καλύψει τίποτα
συγκεκριμένο — και η αναφορά που το ισχυρίζεται δεν αντέχει ερώτηση.

Η μεθοδολογία είναι το επόμενο μάθημα. Το L18 είναι το έγγραφο που απαντά «τι
δοκιμάζω και πώς ξέρω ότι τελείωσα». Ο ρόλος του Top 10 είναι να σου δίνει προτεραιότητα
μέσα σε αυτή τη μεθοδολογία, όχι να την αντικαθιστά.

Στόχος: δική σου εφαρμογή, ή μια που τρέχεις τοπικά στο εργαστήριο του L06.

1. Ανατομία. Κατάγραψε ένα πλήρες αίτημα και την απάντησή του, με τα μέρη της §1
   σημειωμένα. Χρησιμοποίησε τα εργαλεία του προγράμματος περιήγησης — δεν χρειάζεται τίποτα
   άλλο.
2. Κατάσταση. Βρες πώς η εφαρμογή σε θυμάται (§2). Απάντησε: λήγει; αλλάζει μετά τη
   σύνδεση; τι γίνεται αν αποσυνδεθείς;
3. Όριο εμπιστοσύνης. Απαρίθμησε πέντε πράγματα στη σελίδα που φαίνονται σταθερά αλλά
   τα ελέγχει ο πελάτης (§3).
4. Ταξινόμηση, γραπτά. Για καθένα, σε ποια από τις τέσσερις κατηγορίες της §4 ανήκει:
   – Το μενού διαχείρισης κρύβεται από απλούς χρήστες, αλλά η διεύθυνσή του λειτουργεί
   – Το μήνυμα σφάλματος εμφανίζει τη διαδρομή του αρχείου στον διακομιστή
   – Το σχόλιο ενός χρήστη εμφανίζεται σε άλλον και εκτελείται
   – Το αναγνωριστικό συνεδρίας παραμένει ίδιο μετά τη σύνδεση
   – Η φόρμα δέχεται μόνο αριθμούς, αλλά το αίτημα δέχεται κείμενο
5. Μία πρόταση: γιατί το (5) δεν είναι ευπάθεια από μόνο του, αλλά γίνεται σοβαρό αν
   συνδυαστεί με κάτι άλλο;

Βαθμολόγηση

≈4 από 40: ταξινόμηση αστοχίας σε κατηγορία· τι ελέγχει ο πελάτης σε ένα δοθέν αίτημα·
γιατί ο έλεγχος στο πρόγραμμα περιήγησης δεν είναι έλεγχος· τι είναι και τι δεν είναι ο
κατάλογος Top 10.

Το προηγούμενο κείμενο ήταν παραγμένο από πρότυπο — από τις 1.740 λέξεις του, μόνο 356
ήταν μοναδικές· οι υπόλοιπες κοινές με άλλα έξι άρθρα. Το μοναδικό μέρος ήταν κυρίως
γλωσσάρι όρων.

Το παλιό άρθρο ανακατευθύνεται εδώ.