Hata basitti: giriş, oturum açma kodunun nereye gideceğini seçmenize izin veriyordu. Canlı bir web sitesinde bunu kanıtlamak zor kısım oldu.
Özet
Yetkili bir değerlendirme sırasında bir yapay zekâ pentest ajanı, kendi başına büyük bir sigorta şirketinin üretim sitesinde kritik bir kimlik doğrulama atlama açığı buldu.
Tek bir giriş isteği kullanıcının tek kullanımlık şifrenin nereye gideceğini seçmesine izin verdi.
Saldırı kolay kısımdı. Canlı sitede kanıtlamak on yıl boyunca inşa edilmiş web bağlamı gerektirdi.
Giriş Çalıştı. Sonra Ajan Durdu
Reflectiz’in yapay zekâ pentest ajanı, milyonlarca kullanıcısı olan büyük bir sigorta şirketinin üretim sitesinin giriş akışını haritalıyordu.
Ajan bir giriş kodu istedi ve bunu kontrol ettiği bir e-posta kutusuna yönlendirdi. Kod geldi. Giriş gerçekleşti. Giriş başarılı olduktan sonra güvenlik sınırlamaları testi durdurdu.
Ajan kendi başına kritik seviyede bir kimlik doğrulama atlama açığı keşfetmişti. Reflectiz bunu sigorta şirketine bildirdi.
Açık: İstek Kodun Nereye Gideceğini Seçti
Tek kullanımlık şifre, zaten hesaba bağlı bir yere giderse kim olduğunuzu kanıtlar. Burada bu bağlantı kırılmıştı.
Giriş isteği teslimatı belirleyen iki alan taşıyordu: kanal ve adres. Normalde kod, hesap üzerindeki telefon numarasına kısa mesajla giderdi. Ancak istek kanalı değiştirebiliyordu. E-postaya geçirildiğinde sunucu kodu, istekte belirtilen her hangi bir adrese gönderiyordu, hesaba kayıtlı adrese değil.
Sadeleştirilmiş haliyle istek şöyle görünüyordu:
Sunucu adresin hesaba ait olup olmadığını hiç kontrol etmedi.
Kodu hesabına bağlamak kimlik doğrulamadaki en temel kontrollerden biridir. OWASP’ın test rehberi bunu açıkça sorar: “OTP’ler doğru kullanıcı hesabına bağlı mı…?”
Gerekli müşteri tanımlayıcılarına sahip bir saldırgan açığı kullanarak o müşterinin hesabına erişebilirdi.
Şüpheli Bir Alan Bulunmasından Kanıtlanmış Bir Atlamaya
Ajan keşifle başladı, sitenin JavaScript’ine ve sayfalarının arkasındaki API çağrılarına baktı. Bu analiz OTP isteğini ve kodun nasıl ve nereye gönderileceğini kontrol ediyor gibi görünen iki değeri ortaya çıkardı. Bu tür değerler bir hipotez önerebilir ama bulgu değildir, çünkü sunucu değişiklikleri reddedebilir ya da girişin ilerleyen aşamasında engelleyebilir. Bu yüzden ajan her iki değer etrafında hedefli bir test kurdu ve bunu canlı giriş akışından geçirdi; bu da atlamayı doğruladı.
Ajanın durmadan önce ulaştığı doğrulanmış durumun illüstrasyonu. Yeniden oluşturulmuş ve anonimleştirilmiştir.
Web Bağlamı Zor Kısım
Birçok otomatik test giriş kapısında durur, ancak önemli olanın çoğu bunun arkasındadır. Bir test sistemi bir iş akışına ulaşamazsa, içeride neler olduğunu değerlendiremez.
Reflectiz bu sorunu ajan var olmadan önce çözdü. Şirket on yılı aşkın süredir binlerce üretim web sitesini taradı; bu, giriş yapmak, doğrulama kodlarını almak ve çok adımlı akışlarda gezinmek anlamına geliyordu. Böylece şirketin zaten izlediği sitelerde ajan boş bir URL yerine bu bağlamla başlıyor.
Reflectiz’in ajan destekli pentesti bu web bağlamını kullanır. Müşterinin izlediği akışları, tek kullanımlık şifreler ve 2FA dahil olmak üzere gerçek bir tarayıcıyla sürer.
Reflectiz CTO’su ve kurucu ortağı Ysrael Gurt, uzun süredir etik hacker olan kişi, ajanı bu temel üzerine inşa etti.
Tek Bir Bulgu Kapsama Raporu Değildir
Onaylanmış bir güvenlik açığı neyin başarısız olduğunu gösterebilir ama uygulamanın ne kadarının test edildiğini göstermez.
OTP testi aynı sitedeki diğer saldırı planlarıyla birlikte çalıştı. Reflectiz’in ajan destekli pentesti bu açık uçlu araştırmayı yapılandırılmış bir planla eşleştirir: keşfedilen her uç nokta, uygulanabilir her saldırı kategorisine karşı test edilir. Ayrı bir doğrulayıcı ajan, her şüpheli bulguyu aynı yük ve bağlamla yeniden üretir, raporlanmadan önce.
Çıktı, hangi testlerin çalıştırıldığının, kaydedilen sonuçlarının ve hariç tutmaların kapsama kaydıdır.
Pentest Yapılmış Olmak Güvenli Olmakla Aynı Değil
Sigorta şirketi sitenin yaklaşık altı ay önce pentest edildiğini söyledi. Bu değerlendirme sömürülebilir bir giriş açığı buldu, ancak zayıflığın ne zaman tanıtıldığı belli değil.
Bu insan testçiler hakkında bir yansıma değil, çünkü yetenekli bir testçi de bu açığı bulabilirdi. Bu daha çok nokta-in-zaman testinin doğasının bir yansıması. Yeri var ama kimse ne sıklıkla bakabilir?
Web siteleri her sürümle değişir, pentest programları değişmez. Katı programlar, artık yapay zekâyı kullanarak hızlıca açık bulan ve bir sonraki test penceresini beklemeyecek saldırganlara karşı pek işe yaramaz.
Ajan destekli test tempoyu korur. Ajanın doğru erişimi ve net sınırları olduğu ve bir gözden geçirenin doğrulayabileceği kanıt ürettiği sürece, site değiştiği sıklıkta odaklı testleri tekrarlayabilir.
Reflectiz, geleneksel manuel penteste kıyasla aynı operasyonel maliyetle test kapasitesini 10 kata kadar artırdığını bildiriyor. Karşılaştırma test hacmiyle ilgilidir, 10 kat daha fazla güvenlik açığı bulunacağı garantisi değil.
