niewłaściwe logowanie z zewnętrznego formularza

Niewłaściwe logowanie z zewnętrznego formularza to przekazywanie danych uwierzytelniających poza kontrolowanym kanałem.

Na czym polega niewłaściwe logowanie z zewnętrznego formularza

Niewłaściwe logowanie z zewnętrznego formularza występuje wtedy, gdy użytkownik wpisuje nazwę konta, hasło, kod jednorazowy albo inny sekret uwierzytelniający do formularza, który nie należy do właściwego systemu logowania lub nie przekazuje danych zgodnie z kontrolowanym mechanizmem. Formularz może znajdować się na innej stronie, w wyskakującym oknie, w dokumencie HTML albo w aplikacji podszywającej się pod znany serwis. Sam wygląd formularza nie potwierdza jego autentyczności. O bezpieczeństwie decyduje między innymi adres strony, certyfikat TLS, sposób obsługi żądania oraz to, czy dane trafiają bezpośrednio do prawidłowego dostawcy tożsamości.

W poprawnym przepływie użytkownik powinien podawać dane logowania wyłącznie w interfejsie należącym do systemu, który rzeczywiście uwierzytelnia konto. W przypadku logowania federacyjnego, takiego jak OAuth 2.0 lub OpenID Connect, aplikacja może przekierować przeglądarkę do dostawcy tożsamości, ale nie powinna zbierać hasła użytkownika we własnym formularzu. Aplikacja otrzymuje następnie wynik autoryzacji, na przykład kod autoryzacyjny, który jest wymieniany na token zgodnie z ustalonym protokołem. Przekazanie hasła do pośredniej aplikacji omija ten model i zwiększa ryzyko przejęcia konta.

Jak dane uwierzytelniające opuszczają kontrolowany kanał

Ryzyko pojawia się już w chwili wysłania formularza do nieprawidłowego miejsca. W kodzie HTML wskazuje na to między innymi atrybut action kierujący żądanie POST do obcej domeny, skrypt JavaScript odczytujący wartości pól lub żądanie sieciowe wysyłane do adresu, którego użytkownik nie rozpoznaje. Niebezpieczny formularz może również przesyłać dane do serwera pośredniczącego, zapisywać je w logach aplikacji albo umieszczać w parametrach adresu URL. Hasło w adresie strony może trafić do historii przeglądarki, pamięci proxy, systemu analitycznego lub nagłówka referer, dlatego formularze logowania nie powinny przekazywać sekretów metodą GET.

Szyfrowanie połączenia HTTPS chroni dane przed prostym odczytem podczas transmisji, ale nie potwierdza, że odbiorca jest właściwym systemem. Połączenie TLS zapewnia poufność i integralność kanału względem serwera wskazanego w adresie, natomiast nie usuwa problemu fałszywej domeny ani złośliwego formularza. Użytkownik może więc wysłać hasło bezpiecznie zaszyfrowanym połączeniem do nieuprawnionego odbiorcy. Szczególnej ostrożności wymagają skrócone adresy, domeny z literówkami, wieloczłonowe nazwy oraz strony otwierane z nieoczekiwanych wiadomości, reklam lub załączników.

Rozpoznawanie i weryfikacja przepływu logowania

Podczas sprawdzania problemu należy porównać adres wyświetlany w pasku przeglądarki z adresem oczekiwanym dla danego konta. Warto również obejrzeć szczegóły certyfikatu, ale nie należy traktować samej kłódki jako dowodu wiarygodności strony. W narzędziach deweloperskich przeglądarki można przeanalizować zakładki Network i Elements: żądanie wysłane po zatwierdzeniu formularza powinno trafiać do uzasadnionego endpointu, a w przesyłanych danych nie powinno być niekontrolowanych przekierowań ani dodatkowych odbiorców. W przypadku integracji OAuth 2.0 należy sprawdzić między innymi parametr redirect_uri, ponieważ przekierowanie do nieautoryzowanej lokalizacji może ujawnić kod autoryzacyjny.

Jeżeli hasło zostało wpisane do podejrzanego formularza, podstawowym działaniem jest niezwłoczna zmiana hasła w prawidłowym serwisie, a następnie unieważnienie aktywnych sesji i przejrzenie historii logowań, jeżeli dana usługa udostępnia taką funkcję. To samo hasło użyte w innych miejscach należy zmienić także tam. Nie powinno się ponownie korzystać z podejrzanej strony w celu „sprawdzenia”, czy działa poprawnie. Na komputerze można dodatkowo sprawdzić rozszerzenia przeglądarki, ustawienia proxy, ostatnio zainstalowane programy i wpisy autostartu, ponieważ przejęcie danych może być skutkiem nie tylko fałszywej strony, lecz także złośliwego oprogramowania.

Znaczenie problemu przy serwisowaniu komputera

Niewłaściwe logowanie z zewnętrznego formularza jest problemem przepływu danych, a nie wyłącznie błędem wyglądu strony. Diagnostyka powinna ustalić, czy przyczyną był fałszywy formularz, przekierowanie, dodatek do przeglądarki, zmienione ustawienia sieciowe, złośliwy program albo błędna konfiguracja legalnej aplikacji. Weryfikacja obejmuje między innymi procesy uruchomione w systemie, rozszerzenia przeglądarki, wpisy DNS i proxy oraz podstawowe zdarzenia związane z logowaniem. Hasła nie powinny być przekazywane serwisantowi ani zapisywane w plikach diagnostycznych.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i podzespołów, w tym diagnostykę problemów z systemem, przeglądarką oraz oprogramowaniem używanym na komputerze. W ramach analizy można ustalić, czy formularz był elementem prawidłowej aplikacji, czy też dane były kierowane poza oczekiwany kanał. Dalsze czynności powinny być wykonywane z zachowaniem kontroli nad kontami użytkownika, bez ujawniania haseł i kodów jednorazowych.