Press "Enter" to skip to content

OWASP WSTG: Testování slabého zabezpečení odpovědi na otázku (WSTG-ATHN-08)

Published 20/10/2024 by Oxford

Níže nabízím překlad z Home > Stable > 4-Web Application Security Testing > 04-Authentication Testing > Testing for Weak Security Question Answer

Shrnutí

Často nazývané „tajné“ otázky a odpovědi, bezpečnostní otázky a odpovědi se často používají k obnovení zapomenutých hesel (viz Testování na slabé změny nebo resetu hesla) nebo jako dodatečná bezpečnost nad rámec hesla.

Obvykle jsou generovány při vytváření účtu a vyžadují, aby uživatel vybral některou z předem vygenerovaných otázek a poskytl odpovídající odpověď. Mohou uživateli také umožnit vytvořit vlastní dvojici otázky a odpovědi. Obě metody jsou náchylné k nedostatkům. Ideálně by bezpečnostní otázky měly generovat odpovědi, které jsou známy pouze uživateli a nejsou odhadnutelné ani zjistitelné nikým jiným. To je však těžší, než to zní. Bezpečnostní otázky a odpovědi spoléhají na utajení odpovědi. Otázky a odpovědi by měly být vybrány tak, aby odpovědi byly známy pouze držiteli účtu. Ačkoli mnoho odpovědí nemusí být veřejně známo, většina otázek, které webové stránky implementují, podporuje odpovědi, které jsou pseudo-soukromé.

Předem vygenerované otázky

Většina předem vygenerovaných otázek je poměrně jednoduché povahy a může vést k nebezpečným odpovědím. Například:

  • Odpovědi mohou znát členové rodiny nebo blízcí přátelé uživatele, např. „Jaké je příjmení vaší matky za svobodna?“, „Jaké je vaše datum narození?“
  • Odpovědi mohou být snadno odhadnutelné, např. „Jaká je vaše oblíbená barva?“, „Jaký je váš oblíbený baseballový tým?“
  • Odpovědi mohou být hádatelné hrubou silou, např. „Jaké je křestní jméno vašeho oblíbeného učitele na střední škole?“ – odpověď pravděpodobně bude na nějakém snadno stažitelném seznamu oblíbených křestních jmen, a proto lze jednoduše nascriptovat útok hrubou silou.
  • Odpovědi mohou být veřejně zjistitelné, např. „Jaký je váš oblíbený film?“ – odpověď lze snadno najít na stránce uživatelského profilu na sociálních médiích.

Vlastní otázky

Problém s tím, že uživatelé generují vlastní otázky, je, že jim to umožňuje vytvářet velmi nebezpečné otázky nebo dokonce obejít smysl bezpečnostní otázky úplně. Zde jsou některé příklady z reálného světa, které to ilustrují:

  • „Kolik je 1+1?“
  • „Jaké je vaše uživatelské jméno?“
  • „Moje heslo je S3cur ty!“

Cíle testu

  • Určit složitost a přímočarost otázek.
  • Zhodnotit možné odpovědi uživatele a schopnosti útoku hrubou silou.

Jak testovat

Testování slabých předem vygenerovaných otázek

Zkuste získat seznam bezpečnostních otázek vytvořením nového účtu nebo následováním procesu „Nepamatuji si své heslo“. Pokuste se vygenerovat co nejvíce otázek, abyste získali dobrý přehled o typu bezpečnostních otázek, které jsou kladeny. Pokud některá z bezpečnostních otázek spadá do kategorií popsaných výše, jsou náchylné k útokům (odhadování, hrubá síla, dostupné na sociálních médiích atd.).

Testování slabých vlastních otázek

Zkuste vytvořit bezpečnostní otázky vytvořením nového účtu nebo nakonfigurováním vlastností pro obnovení hesla ve vašem stávajícím účtu. Pokud systém umožňuje uživateli generovat vlastní bezpečnostní otázky, je zranitelný vůči vytváření nebezpečných otázek. Pokud systém používá vlastní bezpečnostní otázky během funkce zapomenutého hesla a pokud lze uživatelská jména odhadovat (viz Testování na odhadnutí účtu), mělo by být pro testera snadné získat několik vlastních otázek. Lze očekávat, že pomocí této metody najdete několik slabých vlastních otázek.

Testování na odhadnutelné odpovědi hrubou silou

Použijte metody popsané v Testování slabého mechanismu blokování, abyste zjistili, zda určité množství nesprávně dodaných bezpečnostních odpovědí spouští mechanismus blokování.

První věc, kterou je třeba vzít v úvahu při pokusu o zneužití bezpečnostních otázek, je počet otázek, které je třeba zodpovědět. Většina aplikací vyžaduje, aby uživatel odpověděl pouze na jednu otázku, zatímco některé kritické aplikace mohou vyžadovat, aby uživatel odpověděl na dvě nebo dokonce více otázek.

Dalším krokem je posoudit sílu bezpečnostních otázek. Mohly by být odpovědi získány jednoduchým vyhledáním na Google nebo pomocí útoku sociálního inženýrství? Jako penetrační tester zde je krok za krokem průvodce zneužitím schématu bezpečnostní otázky:

  • Umožňuje aplikace koncovému uživateli zvolit otázku, na kterou je třeba odpovědět? Pokud ano, zaměřte se na otázky, které mají:
    • „Veřejnou“ odpověď; například něco, co lze najít jednoduchým dotazem ve vyhledávači.
    • Faktickou odpověď, například „první škola“ nebo jiná fakta, která lze vyhledat.
    • Málo možných odpovědí, například „Jaký model bylo vaše první auto“. Tyto otázky by poskytly útočníkovi krátký seznam možných odpovědí, a na základě statistik by útočník mohl řadit odpovědi od nejpravděpodobnějších k nejméně pravděpodobným.
  • Zjistěte, kolik máte možných pokusů o odhad, pokud je to možné.
    • Umožňuje obnovení hesla neomezené pokusy?
    • Je po X nesprávných odpovědích blokována možnost pokusů? Pamatujte, že blokovací systém může být sám o sobě bezpečnostním problémem, protože ho může útočník využít k zahájení útoku Denial of Service proti legitimním uživatelům.
  • Vyberte vhodnou otázku na základě analýzy z výše uvedených bodů a proveďte výzkum, abyste zjistili nejpravděpodobnější odpovědi.

Klíčem k úspěšnému zneužití a obejití slabého schématu bezpečnostních otázek je najít otázku nebo sadu otázek, které dávají možnost snadno zjistit odpovědi. Vždy hledejte otázky, které vám dávají největší statistickou šanci na uhodnutí správné odpovědi, pokud si žádnou z odpovědí nejste jisti. Nakonec je schéma bezpečnostních otázek silné pouze tak, jak silná je nejslabší otázka.

Odkazy

Published in Kyberbezpečnost

262 Comments

  13. Brandonref 30/04/2026

    На данном ресурсе представлена полезная материалы.
    Тут можно обнаружить немало полезного для своего развития.
    Представленный ресурс поможет разобраться в различных ситуациях.
    Предлагаем детально прочитать размещенные тут данные.
    https://oaoesp.ru/publication/507-britanskiy-pensioner-ispolzoval-telefon-na-noge-dlya-syomki-zhenshchin-v-magazinakh/

  16. illetry 30/04/2026

    На этом этом ресурсе представлена полезная материалы.
    На этом портале можно обнаружить немало ценного для своего развития.
    Представленный источник поможет понять в различных темах.
    Советуем подробно ознакомиться с опубликованные на этом сайте публикации.
    https://www.pinterest.com/pin/154952043426357327

  22. illetry 30/04/2026

    На этом ресурсе размещена актуальная информация.
    Здесь можно получить множество полезного для себя.
    Представленный ресурс поможет изучить в различных темах.
    Рекомендуем подробно посмотреть опубликованные на этом сайте публикации.
    https://www.pinterest.com/pin/154952043426341250

  78. illetry 02/05/2026

    На конкретном сайте имеется ценная информация.
    На этом портале есть возможность обнаружить много полезного для себя.
    Этот веб-сайт способен помочь понять в многих вопросах.
    Советуем внимательно ознакомиться с опубликованные тут публикации.
    https://ztdn.ru/read-full/2026-04-13-materialy-i-otdelka-korpusa-royal-oak-644/

  114. illetry 03/05/2026

    На этом ресурсе размещена актуальная сведения.
    Тут вы сможете получить немало полезного для решения задач.
    Данный ресурс дает возможность понять в различных темах.
    Рекомендуем детально посмотреть представленные на этом сайте данные.
    https://sovetymed.ru/health/60-the-cultural-impact-of-gucci-s-collaborations-with-contemporary-artists-and-streetwear-labels-gucci-x-adidas-gucci-x-balenciaga-and-beyond.html

  126. illetry 04/05/2026

    На этом конкретном портале имеется нужная материалы.
    Здесь есть возможность обнаружить немало интересного для себя.
    Этот ресурс дает возможность изучить в различных проблемах.
    Рекомендуем подробно посмотреть представленные на этом сайте советы.
    https://ztdn.ru/read-full/2026-04-15-istoriya-sozdaniya-chasov-audemars-piguet-royal-oak-679/

  169. Brandonref 05/05/2026

    В наши дни интернет представляет собой жизненно важной частью нашей жизни.
    Он даёт мгновенный доступ к огромному массиву данных.
    Посредством всемирной паутине люди можем общаться с близкими и партнёрами в любом месте планеты.
    Для работы, учёбы и коммерции сеть стала в основной инструмент.
    https://www.pinterest.com/pin/154952043426334717
    Помимо этого, интернет предлагает неисчерпаемые возможности для досуга и личностного роста.
    При отсутствии выхода в сеть в современном мире сложно вообразить как домашние, так и рабочие задачи.
    Именно поэтому наличие к стабильному сетевому соединению считается базовой потребностью современного человека.

  178. Royal Oak 15407st 05/05/2026

    Модель AP 15407ST является выдающимся образцом в мире часов.
    Ключевая изюминка этой модели — абсолютно открытый скелетонизированный механизм.
    За счёт двойному балансу обеспечивается высокая стабильность хода.
    Корпус размером 41 миллиметр отлично сидит на руке.
    Заводная головка и полированные скосы подчёркивают фирменный стиль марки.
    Высота корпуса составляет всего 9,9 миллиметра, что де лает часы комфортными в повседневной носке.
    Запас хода механизма 3132 достигает примерно 45 часов работы.
    Данные часы выпускается небольшим количеством, что делает её в объект вожделения для ценителей.
    Royal Oak 15407st

  181. 15407st 05/05/2026

    Часы Audemars Piguet 15407ST является выдающимся экземпляром в мире часов.
    Ключевая особенность этой модели Royal Oak — полностью открытый скелетонизированный механизм.
    Благодаря сдвоенному балансу достигается высокая стабильность хода.
    Стальной корпус размером 41 миллиметр отлично сидит на руке.
    Заводная головка и зеркальные фаски подчёркивают узнаваемый почерк марки.
    Высота модели равняется всего 9,9 миллиметра, что делает их комфортными в повседневной носке.
    Автономность калибра 3132 достигает около 45 часов работы.
    Данные часы выпускается ограниченным тиражом, что превращает её в объект охоты для коллекционеров.
    pinterest.com

  201. Royal Oak 15407 06/05/2026

    Часы AP 15407ST представляет собой выдающимся образцом в мире часов.
    Главная изюминка этой модели Royal Oak — полностью сквозной циферблат.
    Благодаря двойному балансу обеспечивается замечательная точность хода.
    Стальной корпус размером 41 мм идеально лежит на руке.
    Заводная головка и полированные фаски подчёркивают узнаваемый стиль бренда.
    Толщина модели равняется всего 9,9 миллиметра, что де лает их комфортными в ежедневном использовании.
    Запас хода калибра 3132 достигает примерно 45 часов работы.
    Данные часы выпускается небольшим количеством, что делает её в объект охоты для коллекционеров.
    Royal Oak 15407 st

  205. 15407st 06/05/2026

    Часы Audemars Piguet 15407ST является выдающимся экземпляром в мире часов.
    Ключевая особенность этой модели — абсолютно сквозной скелетонизированный механизм.
    Благодаря сдвоенному балансирному колесу достигается высокая стабильность хода.
    Стальной корпус размером 41 миллиметр идеально сидит на руке.
    Коронка и зеркальные скосы демонстрируют фирменный почерк бренда.
    Высота модели равняется всего 9,9 миллиметра, что делает часы удобными в повседневной носке.
    Автономность механизма 3132 достигает примерно 45 часов работы.
    Модель производится небольшим количеством, что делает её в объект вожделения для коллекционеров.
    pinterest.com

Napsat komentář

Vaše e-mailová adresa nebude zveřejněna. Vyžadované informace jsou označeny *