Qu'est-ce que la falsification de requête côté serveur ?

Pour comprendre la falsification des requêtes côté serveur, prenons l'exemple d'un scénario dans lequel un réseau d'entreprise est protégé par un pare-feu. Ce réseau peut comporter différents terminaux, notamment des ordinateurs, des terminaux personnels et des serveurs. Cependant, un serveur Web est connecté à la fois au réseau de l'entreprise et à Internet, ce qui fait office de pont entre les deux.

Un attaquant peut exploiter la SSRF en utilisant le serveur Web ou un serveur cloud comme point pivot pour contourner le pare-feu et accéder aux ressources du réseau interne de l'entreprise. Cet accès non autorisé peut impliquer des activités telles que la lecture de fichiers, l'analyse de ports ou même l'exécution de code à distance.

Par exemple, une demande d'API conçue pour récupérer des avatars à partir d'un serveur de fichiers peut être manipulée par un pirate pour accéder à des documents commerciaux ou financiers sensibles stockés dans un autre répertoire. De même, dans un environnement cloud, un pirate pourrait accéder aux ressources cloud, telles que les informations d'identification EC2, en exploitant la falsification de requêtes côté serveur.

Les paramètres et les entrées utilisateur jouent un rôle essentiel dans l'activation des attaques SSRF. Souvent, des vulnérabilités SSRF surviennent lorsqu'une API accepte les entrées utilisateur non validées ou gère de manière incorrecte les paramètres dans les requêtes HTTP. Les pirates peuvent manipuler ces paramètres pour envoyer des requêtes vers des destinations non intentionnelles, telles que des ressources internes ou d'autres parties sensibles du réseau de l'entreprise. La validation correcte des entrées utilisateur et l'assainissement des paramètres peuvent réduire considérablement le risque de SSRF, empêchant les pirates d'exploiter ces faiblesses pour accéder aux ressources internes.

Bien que les API soient souvent considérées comme sécurisées par défaut, il est essentiel de se rappeler qu'il s'agit essentiellement d'applications Web. Par conséquent, toute vulnérabilité affectant une application Web peut également avoir un impact sur une API. L'extraction de ressources externes par le biais d'API présente un risque important, ce qui fait des SSRF une préoccupation essentielle pour les professionnels de la sécurité des API.

L'un des moyens les plus efficaces d'atténuer la SSRF est de sécuriser la communication entre l'API et les services back-end. Cela inclut la mise en œuvre de mesures de contrôle d'accès strictes, la vérification que les ressources internes ne sont pas exposées à des requêtes non autorisées et la configuration minutieuse des paramètres DNS pour empêcher les pirates de résoudre les adresses IP internes. En outre, l'utilisation de canaux chiffrés et la garantie que les points de terminaison API communiquent uniquement avec des services back-end fiables peuvent considérablement réduire le risque d'attaques par SSRF. Il est également essentiel de mettre à jour régulièrement les protocoles de sécurité et de s'assurer que la conception des API est conforme aux 10 meilleures pratiques en matière de sécurité des API selon l'OWASP.

Pour atténuer le risque de SSRF, plusieurs mesures peuvent être mises en œuvre :

• Listes d'autorisation : mettez en œuvre des listes d'autorisation pour limiter les ressources qui peuvent être extraites via les API. En spécifiant certaines ressources, les entreprises peuvent s'assurer que seules les ressources autorisées et sécurisées sont accessibles.
• Serveurs Web isolés : évitez de placer des serveurs Web directement sur le réseau interne de l'entreprise. Envisagez plutôt de les déployer dans un segment de réseau distinct ou sur le cloud pour minimiser le risque d'attaques par SSRF.
• Évaluer la nécessité des ressources : déterminez si l'extraction des ressources externes est réellement nécessaire pour la fonctionnalité de l'API. La réduction de la dépendance vis-à-vis des ressources externes peut réduire la surface d'attaque et limiter le risque de falsification de requêtes côté serveur.
• Protection par pare-feu : utilisez toujours un pare-feu sur le réseau de l'entreprise pour fournir une couche de protection supplémentaire contre les accès non autorisés et les attaques par SSRF potentielles.
• Suivez les recommandations de conception de l'API : restez informé grâce à des recommandations de conception d'API qui fournissent les meilleures pratiques pour développer des API résilientes contre les attaques par SSRF.