Konto-Enumeration in Login-, Registrierungs- und Reset-Formularen verhindern

Worum es geht

Das OWASP Authentication Cheat Sheet (zitiert) bezeichnet jeden beobachtbaren Unterschied zwischen „Nutzer existiert“ und „Nutzer existiert nicht“ als Diskrepanzfaktor. Es verlangt, dass Login, Passwort-Reset und Passwort-Wiederherstellung mit einer generischen Fehlermeldung und derselben HTTP-Antwort reagieren, unabhängig davon, ob die Nutzer-ID oder das Passwort falsch war, das Konto nicht existiert oder gesperrt ist. Die Registrierung ist der schwierige Fall: „Diese Nutzer-ID wird bereits verwendet“ ist das häufigste Leck, und der Ersatz gemäss dem Cheat Sheet ist eine Nachricht wie „Ein Link zur Aktivierung Ihres Kontos wurde an die angegebene Adresse gesendet“, wobei das tatsächliche Ergebnis in dieser E-Mail übermittelt wird (ein Willkommen bei neuen Adressen, ein Hinweis bei bestehenden).

Warum es wichtig ist

Eine bestätigte Liste von Konten macht aus blindem Raten Credential Stuffing und Password Spraying gegen bekannte Ziele und erlaubt es einer angreifenden Partei, genau die Personen zu phishen, die ein Konto haben. Das Leck steckt oft in einem Detail, das niemand überprüft hat: ein 200 für den einen Pfad und ein 403 für den anderen, ein anderes Weiterleitungsziel oder das Muster des „schnellen Ausstiegs“, bei dem der Server bei unbekannten Nutzern den Passwort-Hash überspringt und sichtbar schneller antwortet.

So wird es angewendet

• Eine Nachricht pro Formular und einen HTTP-Status festlegen; beide Zweige mit einem Proxy testen und Bodies, Header, Cookies und Statuscodes vergleichen, nicht nur den sichtbaren Text.
• Den schnellen Ausstieg vermeiden: bei unbekannten Nutzern einen Passwort-Hash gegen einen Dummy-Hash berechnen, damit beide Zweige gleich viel kosten, und andere Seiteneffekte identisch halten.
• Bei Registrierung und Reset das unterscheidende Ergebnis in eine E-Mail oder einen anderen Kanal verlagern, den die Kontoinhaberin oder der Kontoinhaber kontrolliert.
• Drosseln und CAPTCHA hinzufügen, wo die generische Nachricht aus Usability-Sicht nicht akzeptabel ist; das Cheat Sheet weist darauf hin, dass Brute-Force-Schutz auch Enumeration im grossen Massstab stoppt.
• Andere Endpunkte prüfen, die mit Benutzernamen zu tun haben: Profil-URLs, „Kollegin oder Kollegen einladen“, API-Fehlercodes sowie OAuth- oder SSO-Fehlerseiten.

Stolpersteine

Generische Nachrichten verwirren legitime Nutzerinnen und Nutzer; das Cheat Sheet überlässt diesen Kompromiss der Kritikalität der Anwendung und schlägt vor, Fehlschläge bei kritischen Anwendungen auf eine Support-Seite zu leiten. Serverseitige Zeitunterschiede bleiben über viele Stichproben hinweg messbar, selbst nachdem die offensichtlichen entfernt wurden. Ein Registrierungsablauf, der einen eindeutigen Benutzernamen verlangt, muss konstruktionsbedingt etwas verraten; das Leck teuer machen, statt so zu tun, als sei es verschwunden.