Thử thách: vá một luồng đăng nhập từ đầu tới cuối

Năm bài trước kiểm từng phần riêng: hash mật khẩu, verify JWT, chọn luồng, vòng đời session, dò tài khoản. Bài này kiểm thứ không bài nào kiểm được: một luồng hoàn chỉnh, nơi mỗi bước đúng và tổ hợp thì sai.

Đây là loại lỗi khó nhất trong xác thực và cũng là loại phổ biến nhất trong hệ thống thật, vì mỗi bước được một người khác viết ở một thời điểm khác, và không ai đọc cả luồng một lượt.

Tình huống. Một ứng dụng web có backend, dùng OIDC với Zitadel làm identity provider. Luồng đăng nhập gồm sáu bước, và có một lỗ hổng nghiêm trọng cùng hai vấn đề nhỏ hơn. Lỗ hổng nghiêm trọng không nằm ở bất kỳ bước đơn lẻ nào.

Việc phải làm.

1. Đọc cả sáu bước một lượt trước khi phán đoán gì.
2. Tìm lỗ hổng cho phép chiếm tài khoản — không phải lỗ hổng làm rò rỉ thông tin.
3. Viết bản vá, và nói rõ nó chặn được biến thể nào và không chặn được biến thể nào.

Gợi ý duy nhất: lỗ hổng nghiêm trọng nằm ở chỗ hai bước tin nhau. Mỗi bước kiểm đúng phần của mình và giả định bước kia đã kiểm phần còn lại.