Autenticación y control de acceso

La autenticación responde «¿quién eres?» y la autorización «¿qué puedes ver o hacer?». Son independientes: una aplicación puede autenticar de forma impecable —contraseña fuerte, segundo factor— y luego no comprobar si el recurso que pides es tuyo. El fallo de autorización no se arregla endureciendo el login; se arregla haciendo que la aplicación verifique la propiedad del recurso en cada petición. Por eso el pentester tiene que nombrar bien cuál falló: el arreglo que recomienda depende de ello.

En Arrecife entras con tus credenciales de cliente —la autenticación hizo su trabajo— y aun así ves datos de otros. Lo que falló no es quién entró, sino qué se le permitió ver una vez dentro.

El caso más común de autorización rota es la referencia directa insegura: la aplicación identifica un recurso por un número en la dirección —el pedido 1041, la factura 88— y lo entrega sin comprobar de quién es. Si los números son secuenciales, recorrerlos expone los datos de todos. El impacto no es ver un registro ajeno: es que el defecto alcanza al conjunto completo, y eso se demuestra cambiando el identificador por el de otro y mostrando que responde, con una muestra mínima.

En Arrecife, el número del pedido en la dirección es secuencial y la aplicación no comprueba la propiedad. Cambiarlo muestra pedidos de otros clientes; el impacto real es que el fallo alcanza a toda la serie.

La navegación forzada es el otro lado del mismo problema: páginas de administración o de gestión que existen y responden, pero cuyo único «candado» era que no estaban enlazadas. Si un usuario normal escribe la dirección de una zona de administración y la aplicación se la sirve sin comprobar su rol, el control de acceso está roto por completo. No hace falta romper nada: basta pedir la ruta. Es la unión de dos fallos —una superficie descubierta por enumeración y una autorización ausente— y su impacto es directo.

En Arrecife, una ruta de administración destapada responde también a un cliente normal, sin comprobar el rol. Acceder a funciones de administración siendo cliente es un control de acceso roto de gravedad alta.

Cada uno de estos fallos lleva un arreglo distinto, y reportarlos mezclados deja al cliente sin saber qué tocar. La referencia directa insegura se corrige verificando la propiedad del recurso en cada petición; la navegación forzada, comprobando el rol antes de servir cualquier función de administración; la autenticación débil, endureciendo el login. Un informe que dice «control de acceso roto» sin separar el qué y el cómo obliga al cliente a adivinar. Nombrar con precisión el control que falló es parte del valor del hallazgo.

En Arrecife se encontraron dos fallos de autorización —una referencia directa en los pedidos y una ruta de administración abierta—. Se reportan por separado, cada uno con su remediación, porque se arreglan en sitios distintos del código.

La navegación forzada destapa funciones de administración sin candado de rol. Abre el laboratorio y revisa la prueba de acceso: una ruta de administración respondió con contenido a una sesión de cliente normal, sin comprobar el rol. Aísla esa ruta.