pentest-authentication-authorization-review

認証・認可のレビュー

使用する場面

• セッションリプレイ、トークンのライフサイクル、MFA の挙動、アカウント乗っ取り、テナント分離、またはアイデンティティ境界の検証が主な課題である場合。
• オブジェクト、機能、またはワークフローの認可について、役割を組み合わせたテストが必要な場合。
• 次のステップとして、認証の失敗と認可の失敗を区別する必要がある場合。

引き継ぎ基準

• 詳細な IDOR、BOLA、BFLA、RBAC、または所有権テストマトリクスを作成する場合は、pentest-advanced-access-control-auditor に引き継ぎます。
• パーサーの挙動やリクエストの変更が作業を阻む要因になった場合は、pentest-input-protocol-manipulation に引き継ぎます。
• ライブ検証が完了した場合は、pentest-evidence-structuring-report-synthesis に引き継ぎます。

出力スキーマ

• アクセス制御マトリクス：actor、resource、action、expected、observed
• セッション／トークンのライフサイクルに関する調査結果：issued、replayed、revoked、result
• 確認済みの境界突破と、攻撃者が可能な操作の説明

手順

1. テストの前に、アイデンティティの役割と想定される権限を定義します。
2. 役割を組み合わせて比較し、水平境界と垂直境界の両方を検証します。
3. 複数のインターフェースと時間帯をまたいで、セッションとトークンの無効化をテストします。
4. オブジェクト、機能、ワークフローの各レベルで認可を確認します。
5. 出力では、認証の弱点と認可の弱点を区別します。
6. 確認済みの境界違反のみを、エクスプロイトチェーンの対象にします。

検証ゲート

• 役割と操作を明示したテストケースを使用します。
• 制御が許可された経路と拒否された経路の両方について、証拠をすべて記録します。
• 発行時の挙動だけでなく、無効化の挙動も検証します。
• UI の挙動だけからアクセス制御に関する調査結果を推測しないでください。
• データが欠落していることと、アクセスが拒否されたことを混同しないでください。
• 境界を越えたことを示す確定的な証拠がある場合に限り、権限昇格と判定します。

状況認識

• 影響の大きい認可関連の主張は、別の役割、別のオブジェクト、別のメソッド、または別のインターフェースを使って照合します。
• 確認済み、却下済み、不明の役割／操作の組み合わせを、それぞれ別に記録します。