Autenthication (autenticación) y Authorization (autorización) son muy diferentes pero a la vez van unidos.
Authentication es el proceso de verificar quien eres. Por ejemplo adivinando un password.
Authorization es checar que puedes hacer. En vez de adivinarlo, brincar el sistema de protección completamente
Son parte muy importante de las vulnerabilidades. Ambas estan en el top ten de owasp
Autenthication (autenticación)
Para verificar quien eres se usan muchas maneras, las principales son:
- Cosas que sabes: Usernames, passwords, pins, pregunta secreta, etc.
- Cosas que tienes: tokens, celulares, tarjetas, etc.
- Cosas que tienes: firmas, retinas, huellas dactilares, etc.
Algunas vulnerabilidades
- Permite ataques automatizados. Puedes usar patatator o burp.
- Permitir default/passwords inseguros. algunos ejemplos: Bad admin, Cirt o rockyou.
- Puedes enumerar usuarions
- Guardas los passwords de manera insegura
- Mal manejo de sesiones.
Authorization (autorización)
Algunas vulnerabilidades
- Modificar el URL, el post request o un API para acceder a donde no deberias.
- Priv escalation.
- Metadata.
- Adivinar URLs que no deberias ver.
- Cambiar a es admin=0 a admin=1 y que pase… o auth=false a true. (si… si pasa…)
- O una cookie diciendo loggoff=true
- O un link “adivinable” de confirme el pago. Si tambien lo he visto…
- LFI y Path traversal.
———————
