Fallos de autenticación: cómo se entra en cuentas ajenas

Qué es

La autenticación es la parte que responde a "¿quién eres?". Los fallos de esta categoría permiten entrar en una cuenta sin conocer su contraseña, o saltarse una de las barreras que deberían impedirlo, como el segundo factor.

A diferencia de un IDOR, aquí el atacante no accede a un recurso suelto: se convierte en la víctima.

Dónde suele aparecer

• Recuperación de contraseña: enlaces que no caducan, tokens predecibles o reutilizables, o un enlace que se construye con la cabecera Host de la petición y acaba apuntando a un dominio del atacante.
• Segundo factor (2FA): códigos que se pueden probar sin límite, un paso que se puede saltar llamando directamente a la siguiente pantalla, o una respuesta del servidor que basta con modificar.
• Fuerza bruta: inicio de sesión o códigos de verificación sin límite de intentos, o límites que se esquivan cambiando de IP o de formato.
• Verificaciones débiles: comprobar la identidad con datos que el atacante conoce o controla, como el correo sin verificar.
• Diferencias en las respuestas que permiten saber qué correos tienen cuenta (enumeración de usuarios), un primer paso para otros ataques.

Cómo se busca

1. Recorre todos los caminos para entrar: inicio de sesión, registro, recuperación, inicio con terceros, apps móviles y APIs antiguas. Basta con que uno sea más débil.
2. Analiza los tokens de recuperación: longitud, caducidad, si se invalidan tras usarse y si sirven para otra cuenta.
3. Envía la petición de recuperación modificando Host o cabeceras como X-Forwarded-Host y mira a dónde apunta el enlace del correo.
4. En el 2FA, comprueba si hay límite de intentos y si se puede acceder a páginas protegidas sin completarlo.

Cómo se evita

• Tokens de recuperación largos, aleatorios, de un solo uso y con caducidad corta.
• Construir los enlaces con un dominio fijo de la configuración, nunca con la cabecera Host.
• Límite de intentos en inicio de sesión, códigos y 2FA, por cuenta y no solo por IP.
• Comprobar en el servidor que todos los pasos se completaron, en orden.
• Mensajes iguales tanto si la cuenta existe como si no.

Al reportarlo

Describe el camino completo hasta tomar una cuenta de prueba tuya y si requiere algo de la víctima (que pulse un enlace, que tenga cierta configuración). Eso marca la severidad.