ochrona przed fałszywym wypisem

Ochrona przed fałszywym wypisem to mechanizm uniemożliwiający wypisanie cudzego adresu bez potwierdzenia.

Na czym polega ochrona przed fałszywym wypisem

Ochrona przed fałszywym wypisem zabezpiecza funkcję rezygnacji z subskrypcji, powiadomień albo listy mailingowej przed żądaniami wysyłanymi przez osoby trzecie. Sam adres e-mail nie powinien być wystarczającym dowodem, że osoba wykonująca operację ma prawo zmienić jego status. Bez dodatkowego potwierdzenia ktoś mógłby podać cudzy adres w formularzu wypisu, otworzyć przygotowany odnośnik albo wysłać automatyczne żądanie i doprowadzić do niezamierzonego usunięcia adresu z listy.

Mechanizm zwykle rozdziela zgłoszenie żądania od jego wykonania. System przyjmuje prośbę o wypis, ale nie zmienia od razu stanu rekordu. Na wskazany adres wysyłana jest wiadomość z jednorazowym odnośnikiem lub kodem. Dopiero użycie tego elementu potwierdza, że osoba inicjująca operację ma dostęp do skrzynki powiązanej z adresem. W praktyce jest to odmiana potwierdzenia po stronie kanału komunikacyjnego, a nie zwykła kontrola poprawności składni adresu.

Token potwierdzający i kontrola żądania

Bezpieczny odnośnik wypisu powinien zawierać losowy, trudny do odgadnięcia token przypisany do konkretnego żądania. Token nie powinien być prostym numerem rekordu, adresem e-mail ani wartością wynikającą bezpośrednio z przewidywalnego schematu. Serwer przechowuje informację pozwalającą zweryfikować token, jego przeznaczenie oraz stan wykorzystania. Po poprawnym potwierdzeniu token jest oznaczany jako wykorzystany, dlatego ponowne użycie tego samego odnośnika nie powinno wykonywać kolejnej operacji.

System może również ograniczać ważność żądania w czasie, unieważniać starsze tokeny po wygenerowaniu nowego oraz sprawdzać, czy token dotyczy dokładnie tej funkcji, dla której został wydany. Token do wypisu nie powinien umożliwiać logowania, zmiany hasła ani edycji innych danych. W aplikacji internetowej dodatkową ochronę formularza stanowi token anty-CSRF, który wiąże żądanie z wcześniej otwartą sesją użytkownika. Nie zastępuje on jednak potwierdzenia dostępu do skrzynki, ponieważ chroni przed innym rodzajem nadużycia.

Typowe błędy w przepływie wypisu

Nieprawidłowy przepływ występuje wtedy, gdy kliknięcie publicznego adresu powoduje natychmiastowe usunięcie wskazanego adresu z listy. Taki odnośnik może zostać otwarty przez skaner antyspamowy, klienta pocztowego, narzędzie bezpieczeństwa albo osobę, która otrzymała wiadomość przeznaczoną dla kogoś innego. W rezultacie wypis następuje bez świadomego działania właściciela skrzynki. Podobny problem powstaje, gdy formularz przyjmuje adres oraz przewidywalny identyfikator rekordu, a serwer nie wymaga dodatkowego dowodu.

Podczas sprawdzania działania należy prześledzić cały przepływ: wysłanie formularza, zapis żądania, wygenerowanie wiadomości, otwarcie odnośnika, walidację tokenu i zmianę stanu subskrypcji. W logach powinno być możliwe odróżnienie utworzenia żądania od jego potwierdzenia. Warto rejestrować czas, rezultat walidacji i identyfikator operacji, ale nie należy zapisywać tokenów w pełnej postaci, ponieważ logi mogą być dostępne dla osób lub procesów, które nie powinny wykonywać wypisu. Błędy walidacji powinny kończyć się brakiem zmiany rekordu, a nie częściowym wykonaniem operacji.

Sprawdzenie mechanizmu na komputerze użytkownika

Na laptopie lub komputerze PC można sprawdzić ochronę, wykonując kontrolowany test z użyciem własnych adresów. Należy wysłać żądanie wypisu, ale nie otwierać od razu odnośnika potwierdzającego. Do czasu potwierdzenia status subskrypcji powinien pozostać bez zmian. Następnie można użyć poprawnego tokenu, sprawdzić jego jednorazowość i zweryfikować, czy ponowne otwarcie tego samego odnośnika nie zmienia stanu ponownie. Osobno warto sprawdzić zachowanie po modyfikacji pojedynczego znaku tokenu, użyciu wygasłego odnośnika oraz wysłaniu żądania dla innego adresu.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a przy problemach z aplikacją pocztową lub formularzem internetowym można rozpocząć diagnostykę od przeglądarki, rozszerzeń blokujących skrypty, pamięci podręcznej oraz zapisanych danych sesji. Trzeba jednak rozróżnić awarię po stronie komputera od błędu serwera obsługującego listę. Jeżeli status zmienia się bez potwierdzenia także w innej przeglądarce i na innym urządzeniu, bardziej prawdopodobna jest nieprawidłowa logika aplikacji, konfiguracja systemu mailingowego albo problem z generowaniem i weryfikacją tokenów.