IDOR гэж юу вэ? Зөвхөн URL өөрчлөөд бусдын мэдээлэлд хандах боломжтой юу?

Та нэгэн вебсайтад нэвтэрч, өөрийн хувийн мэдээллээ харж байна гэж төсөөлөөд үзээрэй. Тухайн вебсайт нэвтрэх нэр, нууц үг шаарддаг, HTTPS холболт ашигладаг учраас танд аюулгүй мэт санагдана. Гэтэл хэн нэгэн ердөө URL хаяг дахь тоог өөрчлөөд таны хувийн мэдээлэлд хандах боломжтой байвал яах вэ? Энэ нь IDOR (Insecure Direct Object Reference) хэмээх веб аюулгүй байдалтай холбоотой.

IDOR гэдэг нь вебсайт эсвэл аппликейшн хэрэглэгч тухайн мэдээлэлд хандах эрхтэй эсэхийг зохих ёсоор шалгаагүйгээс үүсдэг хандалтын удирдлагын (Access Control) эмзэг байдал юм. Энгийнээр тайлбарлавал, систем таныг хэн болохыг таньж байгаа ч ямар мэдээлэлд хандах эрхтэйг тань зөв шалгахгүй байна гэсэн үг.

Жишээлбэл, та өөрийн профайлыг дараах URL хаягаар хардаг гэж бодъё.

https://example.com/profile/1001

Энд 1001 нь таны хэрэглэгчийн ID юм.

Харин URL дахь тоог өөрчилж:

https://example.com/profile/1002

болгоход өөр хэрэглэгчийн хувийн мэдээлэл харагдаж байвал тухайн систем IDOR эмзэг байдалтай байх магадлалтай.

Энэ тохиолдолд халдагч заавал нууц үг тайлах, системд хүчээр нэвтрэх шаардлагагүй. Харин системийн хандалтын эрхийн шалгалт хангалтгүй байгааг ашиглаж байгаа хэрэг юм. IDOR нь энгийн мэт боловч ноцтой үр дагаварт хүргэж болзошгүй.

Тухайлбал:

- Хувийн мэдээлэл алдагдах: Хэрэглэгчийн нэр, имэйл хаяг, утасны дугаар зэрэг мэдээлэл ил болох.

- Нууц баримт бичигт хандах: Бусдын гэрээ, төлбөрийн нэхэмжлэх, хувийн файлыг үзэх.

- Мэдээлэл өөрчлөх: Өөр хэрэглэгчийн мэдээллийг зөвшөөрөлгүй засварлах.

- Мэдээлэл устгах: Зарим тохиолдолд бусдын өгөгдлийг устгах боломж үүсэх.

Мэдээж IDOR эмзэг байдал бүр ийм бүх боломжийг олгохгүй. Үр дагавар нь тухайн системийн бүтэц болон хандалтын эрхийн шалгалтаас хамаарна.

Үүнээс хэрхэн сэргийлэх вэ?

Энэ төрлийн эмзэг байдлаас хамгаалахын тулд хөгжүүлэгчид болон байгууллагууд дараах зарчмуудыг хэрэгжүүлэх шаардлагатай.

1. Хандалтын эрхийг үргэлж шалгах

Хэрэглэгч мэдээлэл хүсэх бүрд сервер тухайн мэдээллийг үзэх, өөрчлөх эрхтэй эсэхийг баталгаажуулах ёстой.

2. Сервер талд баталгаажуулалт хийх

Зөвхөн хэрэглэгчийн браузер буюу frontend талд хандалтыг хязгаарлах нь хангалтгүй. Эрхийн шалгалтыг сервер талд хэрэгжүүлэх шаардлагатай.

3. Таамаглахад хэцүү ID ашиглах

UUID зэрэг таамаглахад төвөгтэй танигч ашиглах нь халдагчид мэдээллийн ID-г таахад хүндрэл учруулж болно. Гэхдээ энэ нь хандалтын эрхийн шалгалтыг орлохгүй.

4. Аюулгүй байдлын тест тогтмол хийх

Вебсайт болон аппликейшнд эрхийн шалгалтын алдаа байгаа эсэхийг тогтмол шалгаж, илэрсэн эмзэг байдлыг засварлах нь чухал.

Кибер халдлага бүр нарийн төвөгтэй программ, тусгай хэрэгсэл шаарддаггүй. Заримдаа системийн жижигхэн алдаа ч хэрэглэгчдийн хувийн мэдээллийг эрсдэлд оруулж чадна.

IDOR нь үүний тод жишээ юм. Хэрэглэгч системд амжилттай нэвтэрсэн байна гэдэг нь тухайн системийн бүх мэдээлэлд хандах эрхтэй гэсэн үг биш. Тиймээс аюулгүй систем бүтээхэд зөвхөн нэвтрэлт (Authentication) бус, хандалтын эрхийн шалгалт (Authorization) мөн адил чухал байдаг.

Хэрэв та ийм төрлийн эмзэг байдал анзаарвал бусдын мэдээлэлд зөвшөөрөлгүй хандахыг оролдохын оронд тухайн байгууллагад хариуцлагатайгаар мэдэгдээрэй.