{"id":476115,"date":"2023-08-09T07:25:33","date_gmt":"2023-08-09T07:25:33","guid":{"rendered":""},"modified":"2023-09-05T11:12:01","modified_gmt":"2023-09-05T11:12:01","slug":"broken-access-control","status":"publish","type":"wiki","link":"https:\/\/oneproxy.pro\/pt\/wiki\/broken-access-control\/","title":{"rendered":"Controle de acesso quebrado"},"content":{"rendered":"<p>O controle de acesso quebrado \u00e9 uma vulnerabilidade cr\u00edtica de seguran\u00e7a que ocorre quando um aplicativo ou sistema n\u00e3o consegue impor restri\u00e7\u00f5es adequadas sobre o que os usu\u00e1rios podem acessar. Esta vulnerabilidade permite que usu\u00e1rios n\u00e3o autorizados obtenham acesso a informa\u00e7\u00f5es confidenciais, executem a\u00e7\u00f5es que n\u00e3o deveriam ser permitidas ou aumentem seus privil\u00e9gios no sistema. \u00c9 uma falha de seguran\u00e7a generalizada que pode ter consequ\u00eancias graves, tornando essencial que as organiza\u00e7\u00f5es abordem e mitiguem tais problemas prontamente.<\/p>\n<h2>A hist\u00f3ria do controle de acesso quebrado e sua primeira men\u00e7\u00e3o<\/h2>\n<p>O conceito de controle de acesso quebrado tem sido uma preocupa\u00e7\u00e3o desde os prim\u00f3rdios dos sistemas de computador. \u00c0 medida que mais aplica\u00e7\u00f5es e websites foram desenvolvidos, a quest\u00e3o dos controlos de acesso aplicados indevidamente tornou-se mais evidente. Foi formalmente identificado pela primeira vez como um risco de seguran\u00e7a no Open Web Application Security Project (OWASP) Top Ten Project, que visa destacar os riscos de seguran\u00e7a de aplica\u00e7\u00f5es web mais cr\u00edticos. Na lista dos dez principais da OWASP, o controle de acesso quebrado ocupa uma posi\u00e7\u00e3o consistentemente elevada devido ao seu grave impacto na seguran\u00e7a das aplica\u00e7\u00f5es.<\/p>\n<h2>Informa\u00e7\u00f5es detalhadas sobre controle de acesso quebrado<\/h2>\n<p>O controle de acesso quebrado ocorre quando faltam verifica\u00e7\u00f5es e valida\u00e7\u00f5es adequadas para garantir que os usu\u00e1rios possam acessar apenas os recursos que est\u00e3o autorizados a usar. Esta vulnerabilidade pode surgir de diversas fontes, como mecanismos de controle de acesso mal projetados, configura\u00e7\u00f5es incorretas ou at\u00e9 mesmo erros de codifica\u00e7\u00e3o. Algumas manifesta\u00e7\u00f5es comuns de controle de acesso quebrado incluem:<\/p>\n<ol>\n<li>\n<p><strong>Escala\u00e7\u00e3o vertical de privil\u00e9gios<\/strong>: usu\u00e1rios n\u00e3o autorizados obt\u00eam acesso a n\u00edveis de privil\u00e9gios mais elevados do que deveriam, permitindo-lhes executar a\u00e7\u00f5es reservadas a administradores ou usu\u00e1rios privilegiados.<\/p>\n<\/li>\n<li>\n<p><strong>Escala\u00e7\u00e3o horizontal de privil\u00e9gios<\/strong>: usu\u00e1rios n\u00e3o autorizados obt\u00eam acesso a recursos que s\u00f3 deveriam ser acess\u00edveis a outros usu\u00e1rios espec\u00edficos com privil\u00e9gios semelhantes.<\/p>\n<\/li>\n<li>\n<p><strong>Refer\u00eancias diretas a objetos<\/strong>: quando um aplicativo usa refer\u00eancias diretas a objetos internos, os invasores podem manipular par\u00e2metros para acessar recursos que n\u00e3o deveriam poder acessar.<\/p>\n<\/li>\n<li>\n<p><strong>Refer\u00eancias de objetos diretos inseguros<\/strong>: o aplicativo exp\u00f5e refer\u00eancias de objetos internos, como URLs ou chaves, que podem ser manipuladas diretamente por invasores para acessar recursos n\u00e3o autorizados.<\/p>\n<\/li>\n<\/ol>\n<h2>A estrutura interna do controle de acesso quebrado e como funciona<\/h2>\n<p>O controle de acesso quebrado surge de falhas no projeto e implementa\u00e7\u00e3o de mecanismos de controle de acesso. Esses sistemas normalmente dependem de um conjunto de regras e permiss\u00f5es que determinam quais a\u00e7\u00f5es cada usu\u00e1rio ou grupo pode executar. Quando estas regras n\u00e3o s\u00e3o aplicadas corretamente ou quando existem lacunas nas regras, os atacantes podem explorar estas fraquezas para contornar os controlos de acesso.<\/p>\n<p>Por exemplo, um mecanismo de controle de acesso mal projetado pode usar padr\u00f5es previs\u00edveis ou par\u00e2metros facilmente previs\u00edveis, permitindo que invasores acessem recursos restritos modificando par\u00e2metros de URL ou dados de sess\u00e3o. Al\u00e9m disso, a falta de verifica\u00e7\u00f5es adequadas de autentica\u00e7\u00e3o e autoriza\u00e7\u00e3o pode levar ao acesso n\u00e3o autorizado a dados sens\u00edveis ou a funcionalidades administrativas.<\/p>\n<h2>An\u00e1lise dos principais recursos do controle de acesso quebrado<\/h2>\n<p>Os principais recursos do controle de acesso quebrado incluem:<\/p>\n<ol>\n<li>\n<p><strong>Escala\u00e7\u00e3o de privil\u00e9gios<\/strong>: os invasores podem aumentar seus privil\u00e9gios al\u00e9m do n\u00edvel pretendido, obtendo acesso n\u00e3o autorizado a dados e funcionalidades confidenciais.<\/p>\n<\/li>\n<li>\n<p><strong>Refer\u00eancias de objetos diretos inseguros<\/strong>: os invasores manipulam refer\u00eancias de objetos para acessar recursos n\u00e3o autorizados diretamente.<\/p>\n<\/li>\n<li>\n<p><strong>Valida\u00e7\u00e3o inadequada<\/strong>: a falta de valida\u00e7\u00e3o de entrada adequada pode levar ao acesso n\u00e3o autorizado aos recursos.<\/p>\n<\/li>\n<li>\n<p><strong>Ignorando os controles de acesso<\/strong>: os invasores podem encontrar maneiras de contornar as verifica\u00e7\u00f5es de autentica\u00e7\u00e3o e autoriza\u00e7\u00e3o, permitindo-lhes acessar \u00e1reas restritas.<\/p>\n<\/li>\n<\/ol>\n<h2>Tipos de controle de acesso quebrado<\/h2>\n<p>O controle de acesso quebrado pode ser categorizado em v\u00e1rios tipos com base nas vulnerabilidades espec\u00edficas e no seu impacto. A tabela a seguir resume alguns tipos comuns de controle de acesso quebrado:<\/p>\n<table>\n<thead>\n<tr>\n<th>Tipo<\/th>\n<th>Descri\u00e7\u00e3o<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Escala\u00e7\u00e3o vertical de privil\u00e9gios<\/td>\n<td>Usu\u00e1rios n\u00e3o autorizados ganham privil\u00e9gios mais elevados, levando a um poss\u00edvel comprometimento do sistema.<\/td>\n<\/tr>\n<tr>\n<td>Escala\u00e7\u00e3o horizontal de privil\u00e9gios<\/td>\n<td>Usu\u00e1rios n\u00e3o autorizados acessam recursos de outros usu\u00e1rios com o mesmo n\u00edvel de privil\u00e9gio.<\/td>\n<\/tr>\n<tr>\n<td>Refer\u00eancias de objetos diretos inseguros<\/td>\n<td>Os invasores acessam diretamente os recursos modificando URLs ou outros par\u00e2metros.<\/td>\n<\/tr>\n<tr>\n<td>Controle de acesso de n\u00edvel de fun\u00e7\u00e3o ausente<\/td>\n<td>Verifica\u00e7\u00f5es inadequadas no aplicativo permitem acesso a fun\u00e7\u00f5es ou terminais que deveriam ser restritos.<\/td>\n<\/tr>\n<tr>\n<td>Navega\u00e7\u00e3o For\u00e7ada<\/td>\n<td>Os invasores enumeram e acessam recursos criando URLs manualmente.<\/td>\n<\/tr>\n<tr>\n<td>Configura\u00e7\u00e3o insegura<\/td>\n<td>Defini\u00e7\u00f5es de configura\u00e7\u00e3o fracas ou incorretas levam ao acesso n\u00e3o autorizado.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Maneiras de usar controle de acesso quebrado, problemas e solu\u00e7\u00f5es<\/h2>\n<h3>Maneiras de usar controle de acesso quebrado<\/h3>\n<p>Os invasores podem explorar o controle de acesso quebrado de v\u00e1rias maneiras:<\/p>\n<ol>\n<li>\n<p><strong>Acesso n\u00e3o autorizado a dados<\/strong>: os invasores podem obter acesso a dados confidenciais de usu\u00e1rios, informa\u00e7\u00f5es financeiras ou registros pessoais que devem ser protegidos.<\/p>\n<\/li>\n<li>\n<p><strong>Aquisi\u00e7\u00e3o de conta<\/strong>: ao explorar controles de acesso quebrados, os invasores podem assumir o controle de contas de usu\u00e1rios e se passar por usu\u00e1rios leg\u00edtimos.<\/p>\n<\/li>\n<li>\n<p><strong>Escala\u00e7\u00e3o de privil\u00e9gios<\/strong>: os invasores elevam seus privil\u00e9gios para executar a\u00e7\u00f5es reservadas a administradores ou usu\u00e1rios privilegiados.<\/p>\n<\/li>\n<\/ol>\n<h3>Problemas relacionados ao controle de acesso quebrado<\/h3>\n<ol>\n<li>\n<p><strong>Viola\u00e7\u00f5es de dados<\/strong>: O controle de acesso quebrado pode levar a viola\u00e7\u00f5es de dados, resultando em danos \u00e0 reputa\u00e7\u00e3o e poss\u00edveis consequ\u00eancias legais.<\/p>\n<\/li>\n<li>\n<p><strong>Perda financeira<\/strong>: Os ataques que exploram o controlo de acesso quebrado podem levar a perdas financeiras devido a transa\u00e7\u00f5es fraudulentas ou acesso n\u00e3o autorizado a servi\u00e7os pagos.<\/p>\n<\/li>\n<li>\n<p><strong>Conformidade regulat\u00f3ria<\/strong>: As organiza\u00e7\u00f5es que n\u00e3o conseguem lidar com o controle de acesso quebrado podem enfrentar problemas de conformidade, especialmente em setores com regulamenta\u00e7\u00f5es r\u00edgidas de prote\u00e7\u00e3o de dados.<\/p>\n<\/li>\n<\/ol>\n<h3>Solu\u00e7\u00f5es para controle de acesso quebrado<\/h3>\n<p>Lidar com o controle de acesso quebrado requer uma abordagem abrangente para proteger o desenvolvimento de aplica\u00e7\u00f5es web:<\/p>\n<ol>\n<li>\n<p><strong>Implementar autentica\u00e7\u00e3o e autoriza\u00e7\u00e3o fortes<\/strong>: use m\u00e9todos de autentica\u00e7\u00e3o seguros, como autentica\u00e7\u00e3o multifator, e implemente verifica\u00e7\u00f5es de autoriza\u00e7\u00e3o adequadas para limitar o acesso dos usu\u00e1rios aos recursos necess\u00e1rios.<\/p>\n<\/li>\n<li>\n<p><strong>Aplicar o Princ\u00edpio do Menor Privil\u00e9gio<\/strong>: conceda aos usu\u00e1rios o n\u00edvel m\u00ednimo de privil\u00e9gios necess\u00e1rios para executar suas tarefas, reduzindo o impacto de poss\u00edveis viola\u00e7\u00f5es.<\/p>\n<\/li>\n<li>\n<p><strong>Use controle de acesso baseado em fun\u00e7\u00e3o (RBAC)<\/strong>: utilize o RBAC para atribuir permiss\u00f5es com base em fun\u00e7\u00f5es predefinidas, simplificando o gerenciamento de acesso e reduzindo o risco de erros.<\/p>\n<\/li>\n<li>\n<p><strong>Refer\u00eancias diretas seguras a objetos<\/strong>: evite expor refer\u00eancias de objetos internos e use refer\u00eancias indiretas ou t\u00e9cnicas criptogr\u00e1ficas para evitar manipula\u00e7\u00e3o.<\/p>\n<\/li>\n<\/ol>\n<h2>Principais caracter\u00edsticas e compara\u00e7\u00f5es com termos semelhantes<\/h2>\n<table>\n<thead>\n<tr>\n<th>Prazo<\/th>\n<th>Descri\u00e7\u00e3o<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Controle de acesso quebrado<\/td>\n<td>Uma vulnerabilidade de seguran\u00e7a onde os usu\u00e1rios podem acessar recursos al\u00e9m de suas permiss\u00f5es autorizadas.<\/td>\n<\/tr>\n<tr>\n<td>Refer\u00eancias de objetos diretos inseguros<\/td>\n<td>Um tipo espec\u00edfico de controle de acesso quebrado onde os invasores manipulam refer\u00eancias de objetos para acessar recursos restritos.<\/td>\n<\/tr>\n<tr>\n<td>Escala\u00e7\u00e3o de privil\u00e9gios<\/td>\n<td>O ato de obter privil\u00e9gios mais elevados do que o pretendido, muitas vezes resultante de um controle de acesso quebrado.<\/td>\n<\/tr>\n<tr>\n<td>Controle de acesso<\/td>\n<td>O processo de concess\u00e3o ou nega\u00e7\u00e3o de permiss\u00f5es espec\u00edficas a usu\u00e1rios ou grupos para acessar recursos.<\/td>\n<\/tr>\n<tr>\n<td>Autentica\u00e7\u00e3o<\/td>\n<td>Verificar a identidade dos usu\u00e1rios para conceder acesso com base em credenciais.<\/td>\n<\/tr>\n<tr>\n<td>Autoriza\u00e7\u00e3o<\/td>\n<td>Conceder privil\u00e9gios ou permiss\u00f5es espec\u00edficos a usu\u00e1rios autenticados com base em suas fun\u00e7\u00f5es ou atributos.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Perspectivas e tecnologias do futuro relacionadas ao controle de acesso quebrado<\/h2>\n<p>\u00c0 medida que a tecnologia evolui, surgir\u00e3o novas abordagens para combater o controlo de acesso quebrado. \u00c9 prov\u00e1vel que as organiza\u00e7\u00f5es adotem mecanismos e t\u00e9cnicas de controle de acesso mais avan\u00e7ados para garantir uma seguran\u00e7a robusta:<\/p>\n<ol>\n<li>\n<p><strong>Arquitetura de confian\u00e7a zero<\/strong>: Os modelos de seguran\u00e7a de confian\u00e7a zero ganhar\u00e3o popularidade, onde as decis\u00f5es de controle de acesso s\u00e3o baseadas em avalia\u00e7\u00f5es em tempo real de v\u00e1rios fatores de risco, em vez de depender apenas da autentica\u00e7\u00e3o do usu\u00e1rio.<\/p>\n<\/li>\n<li>\n<p><strong>Autentica\u00e7\u00e3o Biom\u00e9trica<\/strong>: A autentica\u00e7\u00e3o biom\u00e9trica pode se tornar mais predominante, oferecendo um n\u00edvel mais alto de seguran\u00e7a ao verificar os usu\u00e1rios com base em caracter\u00edsticas f\u00edsicas exclusivas.<\/p>\n<\/li>\n<li>\n<p><strong>Aprendizado de m\u00e1quina para controle de acesso<\/strong>: Algoritmos de aprendizado de m\u00e1quina podem ser integrados em sistemas de controle de acesso para identificar e prevenir comportamentos an\u00f4malos e poss\u00edveis viola\u00e7\u00f5es de controle de acesso.<\/p>\n<\/li>\n<\/ol>\n<h2>Como os servidores proxy podem ser usados ou associados a controle de acesso quebrado<\/h2>\n<p>Os servidores proxy podem desempenhar um papel na mitiga\u00e7\u00e3o dos riscos de controle de acesso quebrado, agindo como intermedi\u00e1rios entre os clientes e o back-end do site. Os servidores proxy podem impor controles de acesso e filtrar solicita\u00e7\u00f5es recebidas, bloqueando aquelas que violam as regras definidas.<\/p>\n<p>No entanto, se o pr\u00f3prio servidor proxy n\u00e3o estiver configurado ou protegido adequadamente, poder\u00e1 introduzir problemas adicionais de controle de acesso. Configura\u00e7\u00f5es incorretas ou vulnerabilidades no servidor proxy podem permitir que invasores contornem os controles de acesso e obtenham acesso n\u00e3o autorizado aos recursos.<\/p>\n<p>Os administradores do site devem garantir que o servidor proxy seja implementado corretamente, configurado corretamente e mantido regularmente para evitar vulnerabilidades de seguran\u00e7a n\u00e3o intencionais.<\/p>\n<h2>Links Relacionados<\/h2>\n<p>Para obter mais informa\u00e7\u00f5es sobre controle de acesso quebrado e seguran\u00e7a de aplicativos da web, os seguintes recursos podem ser \u00fateis:<\/p>\n<ul>\n<li><a href=\"https:\/\/owasp.org\/www-project-top-ten\/\" target=\"_new\" rel=\"noopener nofollow\">Projeto Top Ten da OWASP<\/a>: fornece detalhes sobre os riscos de seguran\u00e7a de aplicativos web mais cr\u00edticos, incluindo controle de acesso quebrado.<\/li>\n<li><a href=\"https:\/\/nvlpubs.nist.gov\/nistpubs\/SpecialPublications\/NIST.SP.800-53r5.pdf\" target=\"_new\" rel=\"noopener nofollow\">Publica\u00e7\u00e3o Especial NIST 800-53<\/a>: Cont\u00e9m diretrizes para pol\u00edticas de seguran\u00e7a da informa\u00e7\u00e3o e controle de acesso.<\/li>\n<\/ul>","protected":false},"featured_media":476116,"menu_order":0,"template":"","meta":{"_acf_changed":false,"content-type":"","inline_featured_image":false,"footnotes":""},"class_list":["post-476115","wiki","type-wiki","status-publish","has-post-thumbnail","hentry"],"acf":{"faq_title":"Frequently Asked Questions about <mark>Broken Access Control in the Website of Proxy Server Provider OneProxy (oneproxy.pro)<\/mark>","faq_items":[{"question":"What is Broken Access Control?","answer":"<p>Broken Access Control is a critical security vulnerability that occurs when an application or system fails to enforce proper restrictions on what users can access. This flaw allows unauthorized users to gain access to sensitive information or perform actions they shouldn't be allowed to.<\/p>"},{"question":"How did Broken Access Control come into the spotlight?","answer":"<p>Broken Access Control has been a concern since the early days of computer systems. It was first formally identified as a significant security risk in the OWASP Top Ten Project, which highlights the most critical web application security risks.<\/p>"},{"question":"What are the key features of Broken Access Control?","answer":"<p>The key features of Broken Access Control include privilege escalation, insecure direct object references, inadequate validation, and bypassing access controls.<\/p>"},{"question":"What types of Broken Access Control exist?","answer":"<p>There are various types of Broken Access Control, including vertical privilege escalation, horizontal privilege escalation, insecure direct object references, missing function level access control, forceful browsing, and insecure configuration.<\/p>"},{"question":"How can Broken Access Control be used by attackers?","answer":"<p>Attackers can exploit Broken Access Control to gain unauthorized access to sensitive data, perform account takeovers, and escalate their privileges beyond their intended level.<\/p>"},{"question":"What problems can arise due to Broken Access Control?","answer":"<p>Broken Access Control can lead to data breaches, financial losses, and regulatory compliance issues for organizations that fail to address this vulnerability adequately.<\/p>"},{"question":"What are the solutions for Broken Access Control?","answer":"<p>To address Broken Access Control, organizations should implement strong authentication and authorization, enforce the least privilege principle, use role-based access control (RBAC), and secure direct object references.<\/p>"},{"question":"How does the future look for Broken Access Control?","answer":"<p>In the future, we may see the adoption of zero trust architecture, biometric authentication, and machine learning for access control to enhance security measures.<\/p>"},{"question":"How do proxy servers relate to Broken Access Control?","answer":"<p>Proxy servers can help mitigate Broken Access Control risks by enforcing access controls and filtering incoming requests. However, misconfigurations or vulnerabilities in the proxy server could introduce additional access control issues. Proper configuration and maintenance are crucial to ensure security.<\/p>"}]},"_links":{"self":[{"href":"https:\/\/oneproxy.pro\/pt\/wp-json\/wp\/v2\/wiki\/476115","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/oneproxy.pro\/pt\/wp-json\/wp\/v2\/wiki"}],"about":[{"href":"https:\/\/oneproxy.pro\/pt\/wp-json\/wp\/v2\/types\/wiki"}],"version-history":[{"count":0,"href":"https:\/\/oneproxy.pro\/pt\/wp-json\/wp\/v2\/wiki\/476115\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/oneproxy.pro\/pt\/wp-json\/wp\/v2\/media\/476116"}],"wp:attachment":[{"href":"https:\/\/oneproxy.pro\/pt\/wp-json\/wp\/v2\/media?parent=476115"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}