Übermäßige Datenoffenlegung

Was ist Übermäßige Datenoffenlegung?

Der API-Endpunkt serialisiert einen vollständigen Datensatz und vertraut darauf, dass die App nur öffentliche Felder anzeigt. Wer die rohe Antwort liest, sieht auch die verborgenen Daten. Sie öffnen eine Profilkarte mit Name und Stadt, erfassen die zugehörige API-Anfrage und finden in der Antwort E-Mail-Adresse, Telefonnummer, Geburtsdatum und Wohnortkoordinaten. Danach prüfen Sie den Nearby-Feed und finden dieselben privaten Angaben für Tausende Mitglieder. Die Korrektur gibt serverseitig nur explizit zugelassene Felder zurück. Die Endpunkte antworten weiterhin mit Status 200, aber ohne private Angaben.

Was Sie lernen in Übermäßige Datenoffenlegung

• Übermäßige Datenoffenlegung erkennen: Der Endpunkt serialisiert einen vollständigen Datensatz und verlässt sich darauf, dass der Client nur benötigte Felder anzeigt. Die rohe Antwort legt dennoch private Angaben offen.
• Verstehen, dass der Client keine Sicherheitsgrenze ist: Aufrufer lesen die rohe Antwort und nicht die gerenderte Oberfläche; jedes Feld in der Payload ist damit offengelegt, ganz gleich, was die App anzeigt
• Die Schwachstelle von fehlerhafter Autorisierung auf Objektebene (fremdes Objekt per ID) und auf Funktionsebene (unerlaubte Funktion) unterscheiden: Hier darf der Aufrufer die Ressource lesen, erhält aber zu viele Felder.
• Antworten aus einer expliziten serverseitigen Allowlist öffentlicher Felder aufbauen und gespeicherte Datensätze nie vollständig serialisieren. Gemeinsam genutzte Serializer zentral korrigieren, damit alle betroffenen Routen geschützt sind.
• Erkennen, dass übermäßige Datenoffenlegung kein Fehler in der Zugriffskontrolle ist: Der reparierte Endpunkt antwortet weiterhin mit 200 und gibt nur weniger Felder zurück — die Anfrage zu blockieren würde eine öffentliche Funktion zu Unrecht zerstören
• Alle Endpunkte prüfen, die vollständige Datenmodelle serialisieren — besonders Listen und Nearby-Feeds, bei denen ein zu freigiebiger Serializer einen massenhaften Datenabgriff ermöglicht.

Übermäßige Datenoffenlegung — Trainingsschritte

1. Eine öffentlich sichtbare Läuferseite

   Bob hat Trailkin im Visier, eine Lauf-App mit sozialen Funktionen. Er will personenbezogene Daten vieler Mitglieder abgreifen und meldet sich unter einer nur dafür angelegten Identität als gewöhnliches Mitglied an. Trailkin-Profile sind bewusst öffentlich: Jeder kann das Profil jeder beliebigen Läuferin und jedes beliebigen Läufers aufrufen. Bob öffnet die Seite einer Zielperson. Dort sieht er ihre öffentliche Profilkarte und einen Feed mit anderen Läuferinnen und Läufern aus der Umgebung.

2. Auf dem Bildschirm nur öffentliche Felder

   Die Profilkarte zeigt bewusst nur wenige Angaben. Sie enthält die Informationen, die andere sehen dürfen — ohne Details, mit denen jemand diese Person aufspüren oder sich als sie ausgeben könnte.

3. Läuferinnen und Läufer in Ihrer Nähe

   Unter der Karte zeigt Trailkin weitere Mitglieder, die in der Nähe laufen. Auch diese Karten enthalten nur öffentliche Angaben.

4. Die API-Anfragen beobachten

   Profilkarte und Feed werden mit Daten aus der API aufgebaut. Bob öffnet die Netzwerkanalyse im Browser und lädt die Seite neu. So zeichnet er beide Anfragen auf.

5. Zwei Aufrufe verraten die verborgenen Angaben

   Nach dem Neuladen stehen beide API-Aufrufe in der Anfrageliste. Bob öffnet die Antwort des ersten: die Profilanfrage.

6. Die Nearby-Anfrage öffnen

   Das Profil legt Daten einer Person offen. Bob öffnet nun die Antwort des Feed-Aufrufs, der weitere Läuferinnen und Läufer zeigt.

7. Das Datenleck im großen Maßstab

   Die Nearby-Antwort wiederholt das Datenleck für den gesamten Feed.

8. Wissenscheck

9. Die Warnmeldung trifft ein

   Sie verantworten Trailkins Dienst für Läuferprofile. Über Nacht meldet das Monitoring ein Mitgliedskonto, das über Profil- und Nearby-Endpunkte vollständige Datensätze Tausender Nutzer abgerufen hat. Das Sicherheitsteam schickt Ihnen die Details.

10. Den Profil-Router öffnen

    Öffnen Sie den Router für Läuferprofile und prüfen Sie, wie er einen gespeicherten Datensatz in eine API-Antwort umwandelt.