AI agent otkrio zaobilaženje OTP prijave na produkcionom sajtu
Reflectizov AI agent je tokom odobrene bezbednosne procene otkrio kritični propust u OTP prijavi na produkcionom sajtu velikog osiguravača sa milionima korisnika. U zahtevu za slanje jednokratnog koda bilo je moguće promeniti kanal dostave u e-poštu i navesti adresu pod kontrolom testera, nakon čega je kod stigao i prijava uspela.
Agent je po uspešnoj prijavi zaustavio dalji rad zbog ugrađenih zaštitnih ograničenja, a Reflectiz je propust prijavio osiguravaču. Slučaj je važan jer pokazuje da jednokratna lozinka sama po sebi ne potvrđuje identitet ako sistem ne proverava vezu između koda, korisničkog naloga i odredišta na koje se kod šalje.
Gde je prekinuta veza između OTP-a i naloga
Uobičajeni tok predviđa da se kod pošalje SMS-om na broj telefona evidentiran uz nalog. Međutim, zahtev je sadržao dva polja: kanal dostave i adresu primaoca. Promenom kanala na e-poštu, server je slao kod na adresu navedenu u zahtevu, umesto da proveri da li je ona već registrovana uz ciljani nalog.
Takva logika otvara mogućnost pristupa nalogu svakome ko raspolaže potrebnim identifikatorima korisnika. OWASP vodič za testiranje autentifikacije upravo traži proveru da li su OTP-ovi vezani za odgovarajući korisnički nalog. U ovom slučaju ta provera na serverskoj strani nije sprovedena.
Zašto je potvrda propusta složenija od same ideje napada
Agent je najpre analizirao JavaScript sajta i API pozive koje koriste stranice prijave. Tako su uočena polja koja su delovala kao kontrola kanala i odredišta slanja. Sama sumnjiva polja nisu dovoljna za bezbednosni nalaz: server može odbiti izmenjene vrednosti ili ih kasnije blokirati u toku prijave.
Zato je napravljen ciljani test koji je obuhvatio oba parametra i izvršen kroz stvarni produkcioni tok prijave. Potvrda je dobijena tek kada je kod isporučen na kontrolisano sanduče i kada je prijava uspešno završena. Reflectiz navodi da zaseban validator agent ponavlja sumnjive nalaze sa istim opterećenjem i kontekstom pre prijavljivanja.
Kontinuitet testiranja autentifikovanih tokova
Osiguravač je naveo da je sajt testiran približno šest meseci pre ove procene, dok nije poznato kada je slabost uvedena. To ne umanjuje ulogu stručnih testera, već osvetljava ograničenje procena koje predstavljaju presek stanja u jednom trenutku. Aplikacije se menjaju sa svakim izdanjem, dok se rasporedi provera ne menjaju istom brzinom.
Za poslovne timove praktičan zaključak je da testiranje prijave, oporavka naloga i drugih višekoraknih tokova mora obuhvatiti stvarni kontekst autorizovanog korisnika. Posebno treba proveriti da li server nezavisno vezuje OTP za nalog i verifikovano odredište, kao i da li se takve provere ponavljaju nakon promena aplikacije.