Passkey Editor: расширение для Burp Suite для пентеста WebAuthn

Пентест WebAuthn на практике быстро упирается в трафик, который Burp Suite отображает почти как непрозрачный набор байтов. Нужные поля скрыты за CBOR и несколькими слоями кодирования, что затрудняет анализ и модификацию запросов. Расширение Passkey Editor призвано решить эту проблему, снимая обёртки и предоставляя исследователю удобный доступ к содержимому процедуры аутентификации.

Подробности

WebAuthn — это стандарт, лежащий в основе passkey-аутентификации, которая постепенно вытесняет пароли. Однако при тестировании на проникновение работа с ним осложняется форматом передачи данных: параметры запросов и ответов упакованы в CBOR (Concise Binary Object Representation) и дополнительно покрыты несколькими слоями кодирования. В результате Burp Suite показывает такой трафик как малопонятный набор байтов, и специалист не может напрямую оценить или изменить ключевые поля. Passkey Editor снимает эти обёртки, декодирует структуры и позволяет менять данные прямо в запросе. После внесения правок инструмент собирает их обратно в исходный формат так, чтобы сервер продолжал обрабатывать процедуру. Это даёт возможность проверять, как реализация WebAuthn реагирует на модифицированные параметры, и автоматизирует ряд проверок. Автор публикации на Хабре разбирает, как устроен инструмент изнутри, какие именно проверки он автоматизирует и где на практике остаётся поверхность для атак на passkey-аутентификацию. Отдельное внимание уделено типовым сценариям, в которых неаккуратная обработка данных на стороне сервера может привести к обходу защиты.

Что делать

Специалистам по безопасности, занимающимся тестированием веб-приложений с поддержкой passkey, стоит ознакомиться с расширением и опробовать его в контролируемой среде. Перед применением в реальных проектах рекомендуется: - изучить исходную статью и документацию к инструменту, чтобы понимать логику декодирования CBOR и границы применимости; - проверить работу Passkey Editor на тестовом стенде с известной конфигурацией WebAuthn; - учитывать, что модификация запросов допустима только в рамках авторизованного пентеста и при наличии соответствующих разрешений; - обратить внимание на выявленные в статье сценарии, где серверная валидация может оказаться недостаточной, и включить их в чек-лист проверок. Разработчикам, реализующим passkey-аутентификацию, также полезно взглянуть на описанные векторы: они помогают понять, какие поля и структуры требуют особенно строгой проверки на стороне сервера. Инструменты вроде Passkey Editor снижают порог входа в тестирование WebAuthn и делают анализ этого протокола более наглядным. При этом итоговая безопасность passkey-аутентификации по-прежнему зависит от качества серверной валидации, а не от удобства пентест-инструментов.

Источник: Хабр — Информационная безопасность