CORS на финансовых API

Когда CORS становится взломом

CORS опасен только когда сходится три вещи: сервер отражает источник атакующего, шлёт куки с ответом, а эндпоинт отдаёт пользовательские данные. Тогда любая открытая пользователем страница читает его авторизованные данные из чужого источника.

Звёздочка без кук обычно безобидна. Отражённый источник с куками на эндпоинте баланса — тихий вор данных. Разница важна, и сканеры ошибаются в обе стороны.

• ✓ Источник отражается вместо белого списка
• ✓ Куки отправляются с кросс-доменным ответом
• ✓ Эндпоинт отдаёт балансы, выписки или личные данные
• ✓ Звёздочка с куками или принятый пустой источник

Почему исправление — это политика, а не строка

Исправление — белый список точных источников, куки только где нужно и никакого отражения. Но сложность в том, чтобы знать каждый источник, который легитимно зовёт API, — именно такую карту и даёт оценка.

Как мы это проверяем

• 1 Проверяем каждый эндпоинт с источниками атакующего
• 1 Подтверждаем, что куки реально отправляются
• 1 Показываем реальное кросс-доменное чтение с отрицательным контролем
• 1 Отличаем настоящий риск от безобидной звёздочки

Вопросы