Les codeurs à la conquête de la sécurité : série Share & Learn - Problèmes de logique métier

Contrairement à la plupart des autres vulnérabilités que nous avons abordées dans cette série Share & Learn, les problèmes de logique métier ne sont pas directement associés à des erreurs de codage. Bien que les problèmes de codage puissent être à l'origine du problème, les erreurs de logique métier sont le plus souvent le résultat de défauts de conception ou d'hypothèses logiques incorrectes lors de la création initiale d'une application.

Des problèmes de logique métier peuvent survenir si un utilisateur prend une action imprévue lors de l'utilisation d'une application. Cela peut être presque n'importe quoi, qu'il s'agisse d'annuler une commande de manière inattendue, d'appliquer un code de réduction trop de fois ou simplement de sauter une étape prévue et de prendre une action que l'application ne sait pas comment gérer. L'exploitation des failles de logique métier ne nécessite même aucune formation, juste un utilisateur malveillant à l'esprit curieux prêt à sortir des sentiers battus.

Dans cet épisode, nous allons apprendre :

• Comment les attaquants exploitent les failles de la logique métier
• Pourquoi les applications présentant des failles de logique métier sont dangereuses
• Techniques permettant d'éviter les erreurs de logique métier.

Comment les attaquants exploitent-ils les problèmes de logique métier ?

Contrairement à la plupart des exploits, nous ne pouvons pas indiquer de chaînes de code spécifiques susceptibles de provoquer cette vulnérabilité. Il s'agit plutôt pour les utilisateurs de prendre des mesures qui n'étaient pas prévues et que les programmes ne savent pas comment gérer. À titre d'exemple, supposons qu'une application bancaire permet aux utilisateurs de transférer de l'argent vers d'autres comptes. Mais au lieu d'envoyer de l'argent, un utilisateur malveillant essaie d'envoyer un montant négatif sur un autre compte. Comment va réagir l'application bancaire ? Va-t-il s'écraser ? Est-ce qu'il refusera le transfert ? Ou pourrait-il réellement renvoyer de l'argent à l'utilisateur qui a initié le transfert pour équilibrer ce chiffre négatif ?

Les sites de commerce électronique sont particulièrement sensibles, mais pas uniquement, aux failles de logique métier, car ils sont conçus pour être utilisés par de nombreux utilisateurs et comportent de nombreux composants. Les utilisateurs qui annulent des commandes de manière inattendue, essaient d'appliquer plusieurs fois des coupons uniques ou surchargent même leur panier d'achat peuvent présenter des applications avec des conditions imprévues. Il n'y a vraiment aucun moyen de savoir comment un programme va réagir face à une situation inconnue. Le meilleur scénario est peut-être de générer un message d'erreur, mais rien ne garantit qu'une application ne prendra pas une action plus grave, telle que la fourniture de marchandises gratuitement.

Pourquoi les problèmes de logique métier sont-ils dangereux ?

Les problèmes de logique métier peuvent être extrêmement dangereux car ils peuvent être exploités par n'importe qui, même par une personne qui n'a aucune formation en programmation ou en piratage informatique. Cela ne demande que de l'expérimentation et du temps, il suffit de cliquer et d'essayer de trouver les failles dans la façon dont une application est conçue pour répondre. Et une fois qu'un utilisateur malveillant découvre une faille dans la logique métier d'un site, vous pouvez parier qu'il l'exploitera au maximum.

Le plus grand danger est normalement financier, lorsqu'un utilisateur achète 20 téléviseurs à grand écran sans les payer, ou quelque chose comme ça. Mais les failles de logique métier peuvent également entraîner d'autres problèmes. Par exemple, si la fonction de mot de passe protégeant un site ne sait pas quoi faire si un utilisateur clique constamment sur Annuler, elle peut lui permettre de contourner complètement le processus de connexion.

Il n'y a vraiment aucun moyen d'anticiper les dommages qu'un problème de logique métier pourrait causer. Souvent, la première indication d'un problème survient longtemps après que les utilisateurs l'aient exploité.

Résolution des problèmes de logique métier

Malheureusement, l'utilisation d'outils courants tels que les scanners de vulnérabilités ne permet pas d'identifier ou de résoudre les problèmes de logique métier, car les tests de logique métier ne peuvent pas être facilement automatisés. Le meilleur moyen de les éviter est de mettre en œuvre une bonne planification, de gérer les erreurs et de tester les cas de test négatifs pendant le développement d'une application. Cela nécessite tout d'abord un ensemble clairement défini de règles métier qui inclut toutes les actions possibles et souhaitées pour lesquelles une application est conçue.

Muni d'un plan de règles métier, l'un des meilleurs moyens d'empêcher les failles de logique métier de s'infiltrer est de créer un organigramme montrant toutes les manières possibles dont les données et les transactions doivent circuler au sein d'une application. Cela inclut la modélisation du comportement pour chaque instance dans laquelle un utilisateur est en mesure de faire un choix ou de saisir des données. Vérifiez constamment que les actions possibles dans le diagramme de flux correspondent aux fonctions du plan de règles métier.

Enfin, utilisez la modélisation des menaces pour identifier les failles de la logique métier pendant les phases de conception, de mise en œuvre et de test. En tant que solution de sécurité intégrée, créez une action que le programme doit entreprendre s'il rencontre une situation non spécifiquement prévue. Cela peut être aussi simple que de refuser l'action et d'avertir un administrateur du problème rencontré.

Plus d'informations sur les problèmes de logique métier

Pour en savoir plus, vous pouvez consulter les pages de l'OWASP sur problèmes de logique métier. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce au démo gratuite de la plateforme Secure Code Warrior, qui forme les équipes de cybersécurité à devenir les meilleurs cyberguerriers. Pour en savoir plus sur les moyens de neutraliser cette vulnérabilité et consulter une galerie d'autres menaces présentées par des escrocs, rendez-vous sur Blog Secure Code Warrior.

Êtes-vous prêt à rechercher et à détruire les vulnérabilités de la logique métier dès maintenant ? Rendez-vous sur la plateforme et testez vos compétences : [Commencez ici]