Detectando ataques Broken Object Level Authorization em APIs REST usando dependência Produtor-Consumidor
Carregando...
Data
Autores
Orientador(es)
Coorientador(es)
Membros da banca
Oliveira, Horacio Antonio Braga Fernandes de
Kreutz, Diego Luis
Kreutz, Diego Luis
Pós-Graduação
Título da Revista
ISSN da Revista
Título de Volume
Editor
Universidade Federal do Amazonas
Tipo
Direito de acesso
DOI
Resumo
As Web APIs (Application Programming Interfaces) vêm se tornando ubíquas em aplicações que
demandam algum tipo de comunicação entre cliente e servidor, sendo desenvolvidas majoritariamente
utilizando o estilo de arquitetura REST (Representational State Transfer) e largamente
empregadas no desenvolvimento de aplicações Web e móveis. Esse aumento de popularidade,
no entanto, trouxe novos desafios de segurança, como a difusão de vulnerabilidades derivadas
principalmente da ausência de controles de estado das aplicações clientes, reflexo do requisito
de statelessness do design REST. Dentre essas vulnerabilidades destaca-se a Broken Object
Level Authorization (ou BOLA), um tipo específico de quebra de controle de acesso. Ela foi
elencada na primeira posição do OWASP API Security Top 10, sendo considerada a vulnerabilidade
de maior prevalência em aplicações do mundo real, uma vez que pode levar ao acesso
não autorizado a dados sensíveis. Este trabalho visa fornecer uma abordagem de detecção de
tentativas de exploração dessa vulnerabilidade em tempo de execução, a partir da identificação
de relacionamentos produtor-consumidor entre os endpoints, extraídos a partir de especificações
da API no padrão OpenAPI (OAS). Essa solução será avaliada utilizando-se APIs de aplicações
vulneráveis a BOLA, visando validar a sua capacidade de detecção de ataques.
Abstract
Web APIs (Application Programming Interfaces) have become ubiquitous in applications
that require some type of communication between client and server, being developed mainly
using the REST (Representational State Transfer) style of architecture and widely used in the development of Web and mobile applications. This increase in popularity, however, brought new security challenges, such as the spread of vulnerabilities derived mainly from the absence of state controls on client applications, reflecting the statelessness requirement of REST design. Among these vulnerabilities, the Broken Object Level Authorization (or BOLA), a specific type of access control breach, stands out. It’s listed in the first position of the OWASP API Security Top 10 and it’s considered the most prevalent vulnerability in real-world applications, leading to unauthorized access to sensitive data in successful attacks. This work aims to provide an approach to detect attempts to exploit this vulnerability at runtime, using the identification of producer-consumer relationships between endpoints extracted from API specifications compliant to the standard OpenAPI (OAS). This solution will be evaluated using APIs of applications vulnerable to BOLA, in order to validade its capacity to detect attacks.
Descrição
Termo controlado
Cliente/servidor (Computadores); Aplicações Web; Software de aplicação
Objetivos de Desenvolvimento Sustentável (ODS)
Citação
LOEBENS, Marcelo de Castro. Detectando ataques Broken Object Level Authorization em APIs REST usando dependência Produtor-Consumidor. 2022. 54 f. Dissertação (Mestrado em Informática) - Universidade Federal do Amazonas (AM), 2022.
Coleções
Avaliação
Revisão
Suplementado Por
Referenciado Por
Direitos e licenciamento
Acesso Aberto