In breve: Un test di vulnerabilità sul controllo di accesso verifica se gli utenti possono fare solo ciò che è permesso. Serve a scoprire falle prima che le sfruttino i malintenzionati.
Cos'è il controllo di accesso
Il controllo di accesso decide chi può entrare e cosa può fare. È come la chiave di casa: solo chi la possiede entra.
Nei sistemi informatici funziona con username, password e permessi. Ogni utente ha un ruolo, ad esempio amministratore o ospite.
Un test di vulnerabilità prova a violare queste regole. L'obiettivo è trovare i punti deboli prima di un vero attacco.
Come si svolge il test
Il tecnico segue una procedura ordinata e autorizzata. Prima raccoglie informazioni sul sistema da analizzare.
Poi prova diversi scenari di accesso non corretto. Ad esempio cerca di entrare senza credenziali valide.
Verifica anche se un utente normale può ottenere privilegi più alti. Questo problema si chiama escalation dei permessi.
Infine controlla se le sessioni di lavoro sono protette. Le sessioni aperte non devono essere riutilizzate da altri.
Tutti i risultati vengono scritti in un report finale. Il report indica i problemi trovati e i possibili rimedi.
Esempi pratici
Pensa al registro elettronico della scuola. Solo il docente può inserire i voti, lo studente no.
Un test verifica che uno studente non riesca a modificare i voti. Si prova a cambiare l'indirizzo web della pagina per accedere a sezioni vietate.
Altro esempio: un sito di e-commerce con area clienti. Il tester prova a leggere gli ordini di un altro utente cambiando il numero ID nell'URL.
Strumenti come Burp Suite o OWASP ZAP aiutano nelle prove. Permettono di intercettare e modificare le richieste inviate al server.
Se il test scopre un problema, lo sviluppatore corregge il codice. Poi si ripete il test per confermare la soluzione.
Parole difficili
- Vulnerabilità: punto debole di un sistema che può essere sfruttato per un attacco.
- Privilegi: livello di permessi che un utente ha nel sistema.
- Escalation: tentativo di ottenere permessi più alti di quelli assegnati.
- Sessione: periodo di tempo in cui un utente è collegato al sistema.
- URL: indirizzo web che identifica una pagina o una risorsa online.
- Report: documento che riassume i risultati di un'analisi tecnica.
Riferimenti
- Norma: Norme generali e livelli essenziali delle prestazioni relativi al secondo ciclo del sistema educativo di istruzione e formazione
- Obiettivo formativo coperto: ob.iefp-tecnico-informatico.competenze-tecnico-professionali.cl3.sicurezza-informazione.14