Attaccante che acquista qualcosa dall'e-store quando tenta di manomettere le richieste e modifica il valore dell'importo della transazione. Che tipo di attacco è questo? Come prevenire questo tipo di attacco come banca e commercianti?
Questo è un attacco Parametro di manomissione . Enfasi particolare:
The Web Parameter Tampering attack is based on the manipulation of parameters exchanged between client and server in order to modify application data, such as user credentials and permissions, price and quantity of products, etc. Usually, this information is stored in cookies, hidden form fields, or URL Query Strings, and is used to increase application functionality and control.
È possibile prevenire questo tipo di attacco non memorizzando il lato client di informazioni sensibili. Ad esempio, è possibile calcolare il lato del prezzo del server ogni volta che viene visualizzato o utilizzato. Qualsiasi tentativo di modificare le quantità comporterebbe il nuovo calcolo del prezzo che rimane accurato.
Se vuoi anche convalidare la quantità, ad esempio se limiti il numero di prodotti che un utente può acquistare, devi anche convalidare questo lato server.
Questo è un attacco all'integrità delle tue informazioni, a seconda di come è orchestrato potrebbe essere considerato un attacco man-in-the-middle o manomissione della richiesta.
Alcune tecniche comuni per garantire l'integrità:
Convalida lato server
Ad esempio, se si tratta di un checkout online, passare l'elenco dei prodotti e calcolare il lato totale del server anziché inviare solo un totale. Nel caso di un pagamento lato client, effettuare una richiesta lato server al processore di pagamento per verificare il totale.
Firma dei dati
Fondamentalmente crittografate i vostri dati usando una chiave segreta e inviate il testo cifrato insieme al messaggio, potete quindi decifrare i dati dall'altra parte usando la vostra chiave segreta e se corrispondono, allora il messaggio non può essere stato cambiato . Se stai implementando uno schema come questo da zero ci sono alcune sfumature che devi sapere come tecniche per prevenire un attacco di replay. Raccomando di utilizzare un'implementazione consolidata piuttosto che creare qualcosa da te, ad esempio alcuni framework web hanno cookie firmati o funzionalità dei dati dei moduli firmati.
TLS
Se la minaccia proviene da un man-in-the-middle piuttosto che dall'utente stesso (ad esempio il man-in-the-middle che modifica l'indirizzo di spedizione), TLS risolve questo problema in modo abbastanza efficace.
Solitamente indicato come bypass di pagamento. Un approccio basato su checksum viene spesso utilizzato quando i dettagli della richiesta vengono sostituiti con un valore segreto sul lato del commerciante e successivamente convalidati sul lato del processore di pagamento. Sfortunatamente un gran numero di questi sistemi che ho osservato in produzione lo fanno in modo errato. Ho fatto una presentazione su questo a BH Asia l'anno scorso il video è su YouTube e il codice è sul mio github, solo su google per solutum cumulus mediocris.
Leggi altre domande sui tag e-commerce attacks attack-prevention