عيوب استعادة كلمة المرور Password Reset

تدفق استعادة كلمة المرور هدف مفضل فهو موجود تحديدا ليعيد الوصول لمن فقده فأي ضعف فيه طريق للاستيلاء على حساب والعيوب نادرا ما تكون في تشفير الرمز بل في كيفية بناء الرابط وأين يسافر الرمز وهل هو مرتبط بالحساب الصحيح

ما هي الثغرة؟

• تسميم ترويسة المضيف الرابط المرسل في البريد يبنى من ترويسة المضيف في الطلب فيضبطها المهاجم إلى نطاقه فيصل رمز الضحية إلى موقع المهاجم
• الرمز في الرد بقية تنقيح تعيد رمز الاستعادة في رد الـ API فأي أحد يطلب استعادة يقرأ السر مباشرة
• رمز غير مرتبط بالحساب الخادم يتحقق أن الرمز صالح لا أنه أصدر للحساب المعاد تعيينه فرمز طلبته لنفسك يعيد تعيين أي أحد

لماذا تحدث؟

كل خطوة تثق بما لا ينبغي ترويسة المضيف كأساس آمن للروابط والرد كقناة خاصة ورمز كإثبات هوية دون ربطه بحساب والتدفق يعمل في الاختبار لأن المستخدم الأمين لا يفحص هذه الثغرات

كيف تتوقف؟

ابن الروابط من مضيف ثابت مضبوط في الخادم وأرسل الرمز عبر قناة البريد فقط لا في أي رد واربط كل رمز بمعرف حسابه وتحقق من التطابق واجعل الرموز لمرة واحدة وقصيرة العمر

اللابات الثلاثة أدناه تمشي هذا سمم المضيف واقرأ رمزا مسربا وأعد تعيين admin برمز أصدر لـ guest