Authentication و Authorization

أهلاً بيك. أي نزام محترم لازم يسأل سؤالين. الأول: إنت مين؟ والتاني: مسموح لك تعمل إيه؟ والسؤالين دول ليهم اسمين مختلفين… وناس كتير بتخلط بينهم.

السؤال الأول اسمه Authentication. يعني النزام يتأكد إنك إنت فعلاً اللي بتقول عليه. زي الأمن على باب الشركة لما يبص على الكارنيه بتاعك. وأقوى طريقة إنك تجمع أكتر من نوع، وده اسمه MFA. يعني password، ومعاه code بيوصل على موبايلك. حتى لو المهاجم سرق الـ password… مش هيقدر يدخل من غير الموبايل.

السؤال التاني اسمه Authorization. بعد ما عرفنا إنت مين… مسموح لك تدخل أنهي أوضة؟ الموَزَّف العادي يدخل مكتبه، بس ما يدخلش أوضة الـ servers.

وأشهر غلطة في الـ Authorization اسمها IDOR. يعني الموقع بيعمل Authentication صح… بس مابيتأكدش إن الحاجة اللي بتطلبها بتاعتك. تغيّر رقم الأوردر في الـ URL… تشوف أوردر حد تاني. نشوفها بعينينا. أحمد عامل login، وطالب الأوردر رقم مِيّة واتنين… اللي هو بتاع سارة. نشغّل… أحمد شاف أوردر سارة! ده IDOR.

orders = {
    101: {"owner": "ahmed", "total": 250},
    102: {"owner": "sara", "total": 900},
}

def view_order(current_user, order_id):
    return orders[order_id]

print(view_order("ahmed", 102))

{'owner': 'sara', 'total': 900}

والحماية: قبل ما نرجّع الأوردر، نتأكد إن صاحبه هو اللي عامل login. ولو مش هو، نرجّع four oh three. نشغّل… أوردر سارة اترفض، وأوردر أحمد بان عادي.

orders = {
    101: {"owner": "ahmed", "total": 250},
    102: {"owner": "sara", "total": 900},
}

def view_order(current_user, order_id):
    order = orders[order_id]
    if order["owner"] != current_user:
        return "403 Forbidden"
    return order

print(view_order("ahmed", 102))
print(view_order("ahmed", 101))

403 Forbidden
{'owner': 'ahmed', 'total': 250}

دورك: خلّي الـ admin يقدر يشوف أي أوردر. يعني لو current_user هو admin، رجّع الأوردر على طول.

الحل: شرط زيادة قبل الشرط بتاع الـ owner. نشغّل…

orders = {
    101: {"owner": "ahmed", "total": 250},
    102: {"owner": "sara", "total": 900},
}

def view_order(current_user, order_id):
    order = orders[order_id]
    if current_user == "admin":
        return order
    if order["owner"] != current_user:
        return "403 Forbidden"
    return order

print(view_order("ahmed", 102))
print(view_order("admin", 102))

403 Forbidden
{'owner': 'sara', 'total': 900}

الدرس الجاي: مبدأين لو الشركات طبّقتهم، نُص الهجمات هتفشل… Least Privilege و Defense in Depth. يلا بينا.