El atacante está comprando algo de la tienda electrónica cuando intenta manipular las solicitudes y cambiar el valor del monto de la transacción. ¿Qué tipo de ataque es este? ¿Cómo prevenir este tipo de ataque como el banco y los comerciantes?
Este es un manipulación de parámetros . Énfasis mío:
El ataque de manipulación de parámetros web se basa en la manipulación de Parámetros intercambiados entre el cliente y el servidor para modificar datos de la aplicación, como credenciales y permisos de usuario, precio y cantidad de productos , etc. Generalmente, esta información se almacena en cookies, campos de formulario ocultos o cadenas de consulta de URL, y se utiliza para aumentar la funcionalidad y el control de la aplicación.
Puede evitar este tipo de ataque al no almacenar información confidencial del lado del cliente. Por ejemplo, podría calcular el lado del servidor de precios cada vez que se muestre o se use. Cualquier intento de alterar cantidades daría lugar a que el nuevo cálculo del precio se mantuviera exacto.
Si también desea validar la cantidad, por ejemplo, si está limitando la cantidad de productos que un usuario puede comprar, también debe validar este lado del servidor.
Este es un ataque a la integridad de su información, dependiendo de cómo esté orquestada, podría considerarse un ataque de intermediario o una manipulación indebida.
Algunas técnicas comunes para garantizar la integridad:
Validación del lado del servidor
Por ejemplo, si es un pago en línea, pase la lista de productos y calcule el lado total del servidor en lugar de enviar solo un total. En el caso de un pago del lado del cliente, realice una solicitud del lado del servidor al procesador de pagos para verificar el total.
Firmando los datos
Básicamente, usted encripta sus datos usando una clave secreta y envía el texto cifrado junto con el mensaje, luego puede descifrar los datos en el otro extremo usando su clave secreta y si coinciden, entonces el mensaje no puede haber cambiado. . Si está implementando un esquema como este desde cero, hay algunos matices que debe tener en cuenta, como las técnicas para evitar un ataque de repetición. Recomiendo usar una implementación establecida en lugar de crear algo por sí mismo, por ejemplo, algunos marcos web tienen cookies firmadas o funcionalidad de datos de formularios firmados.
TLS
Si la amenaza es de un hombre en el medio en lugar del propio usuario (por ejemplo, el hombre en el medio que cambia la dirección de envío), TLS resuelve este problema con bastante eficacia.
Usualmente referido como bypass de pago. Un enfoque basado en la suma de control se usa a menudo cuando los detalles de la solicitud se incluyen junto con un valor secreto en el lado del comerciante y luego se validan en el lado del procesador de pagos. Desafortunadamente, un gran número de estos sistemas que he observado en la producción hacen esto incorrectamente. Hice una presentación sobre esto en BH Asia el año pasado, el video está en YouTube y el código está en mi github, solo en Google para solutum cumulus mediocris.
Lea otras preguntas en las etiquetas attacks attack-prevention e-commerce