יומן אבטחה

חברה א' רוצה לתת ללקוחותיה צ'ופר בדמות שובר לרכישת מתנה אצל חברה ב'. חברה ב' אינה מעוניינת בזהות הרוכש, אלא אך ורק בכך שלא ניתן יהיה להשתמש באותו השובר פעמיים (חברה א' התחייבה לנפק תמיד את אותו השובר ללקוח, עד אשר יעשה בו שימוש) ושיהיה באפשרותה לוודא כי השובר נופק על ידי חברה א'.

לשם כך הוגדר התהליך הבא:

ללקוחות חברה א' יוצג קישור המאפשר להם לממש את השובר. בעת לחיצה על הקישור שם המשתמש שלהם במערכת (מזהה חד חד ערכי) יעבור hash (בפונקציה סטנדרטית) וייחתם דיגיטלית על ידי חברה א' (שוב, באמצעות אלגוריתם מקובל). התוצר שיתקבל (הכל מבוצע כמובן בשרת) יועבר כפרמטר בשורת ה-URL של המשתמש לחברה ב'. חברה ב' תוודא את החתימה הדיגיטלית ולאחר ווידוא החתימה תרשום את ה-hash כמזהה חד חד ערכי של הלקוח שהחליט לממש את השובר (ובכך תמנע ממנו בעצם לרכוש פעם אחר פעם באמצעות העברה חוזרת של הפרמטר משורת ה-URL).

על פניו, התהליך מאוד מאובטח. ובכל זאת, נראה כי ניתן לתקוף את השיטה.

החידה, אם כן, הנה כיצד ניתן לעקוף את מנגנוני האבטחה שהוגדרו ולחרוג מהכללים הרצויים. יתקבלו תשובות מנומקות בלבד, המסבירות מה החולשה וכיצד ניתן לנצל אותה. המהדרין יכולים להוסיף גם שיפוץ למנגנון האבטחה שתואר.

כמובן, במידה ואין חור אבטחה במערכת, אשמח לגלות גם את זה.