CWE-640

O produto contém um mecanismo para que os usuários recuperem ou alterem suas senhas sem conhecer a senha original, mas o mecanismo é fraco.

É comum uma aplicação ter um mecanismo que fornece um meio para o usuário obter acesso à sua conta caso esqueça a senha. Muitas vezes o mecanismo de recuperação de senha é fraco, o que tem o efeito de tornar mais provável que uma pessoa que não seja o usuário legítimo do sistema consiga obter acesso à conta desse usuário. Esquemas fracos de recuperação de senha minam completamente um esquema forte de autenticação por senha. Essa fraqueza pode ser o fato de a pergunta de segurança ser fácil demais de adivinhar ou de encontrar uma resposta (por exemplo, porque a pergunta é comum demais, ou as respostas podem ser encontradas usando redes sociais). Ou pode haver uma fraqueza de implementação no código do mecanismo de recuperação de senha que, por exemplo, engane o sistema a enviar por e-mail a nova senha para uma conta de e-mail que não seja a do usuário. Pode não haver limitação (throttling) na taxa de redefinições de senha, de modo que um usuário legítimo possa ter o serviço negado por um atacante caso este tente recuperar a senha dele em rápida sucessão. O sistema pode enviar a senha original ao usuário em vez de gerar uma nova senha temporária. Em resumo, a funcionalidade de recuperação de senha, se não for cuidadosamente projetada e implementada, muitas vezes pode se tornar o elo mais fraco do sistema, que pode ser mal utilizado de uma forma que permitiria a um atacante obter acesso não autorizado ao sistema.

Consequências comuns

• Controle de Acesso → Obter Privilégios ou Assumir Identidade
• Disponibilidade → DoS: Consumo de Recursos (Outro)
• Integridade, Outro → Outro

Mitigações

• Arquitetura e Projeto: Certifique-se de que toda entrada fornecida pelo usuário ao mecanismo de recuperação de senha seja minuciosamente filtrada e validada.
• Arquitetura e Projeto: Não use perguntas de segurança fracas e padronizadas e use várias perguntas de segurança.
• Arquitetura e Projeto: Certifique-se de que haja limitação (throttling) no número de respostas incorretas a uma pergunta de segurança. Desative a funcionalidade de recuperação de senha após um certo número (pequeno) de tentativas incorretas.
• Arquitetura e Projeto: Exija que o usuário responda corretamente à pergunta de segurança antes de redefinir sua senha e enviar a nova senha para o endereço de e-mail registrado.
• Arquitetura e Projeto: Nunca permita que o usuário controle para qual endereço de e-mail a nova senha será enviada no mecanismo de recuperação de senha.
• Arquitetura e Projeto: Atribua uma nova senha temporária em vez de revelar a senha original.