Угроза утечки пользовательских данных при использовании функций автоматического заполнения аутентификационной информации в браузере

Угроза заключается в возможности утечки пользовательских данных за счет использования реализованной в браузерах функции автоматического заполнение форм авторизации. Реализация данной угрозы обусловлена хранением в браузерах в открытом виде пользовательских данных, используемых для автозаполнения форм авторизации. Реализация данной угрозы возможна при условии, что пользователь использует браузер, в котором реализована и активирована функция автоматического заполнения форм авторизации

Источник угрозы

Внешний нарушитель со средним потенциалом

Объект воздействия

Аутентификационные данные пользователя (программное обеспечение)

Виды объектов воздействия

Учётные данные группировка поля выше, сделанная в этом справочнике: ни БДУ, ни методика видов объектов не перечисляют

Нарушаемые свойства

конфиденциальность

Среда реализации

Веб-технологии и браузер

Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.201. Перед применением сверьте формулировку с первоисточником.

Меры защиты против УБИ.201

Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.

Почему именно эти меры

Утечка пользовательских данных через функцию автозаполнения форм авторизации в браузере. Управление средствами аутентификации (ИАФ.4) определяет, как и где допустимо хранить и автозаполнять аутентификационные данные. Защита пользовательских данных веб-приложений (117-ЗВТ.1) прикрывает сами утекающие данные. Установка только разрешённого ПО (УКФ.3), применённая к настройкам браузера, может запрещать автозаполнение там, где это неприемлемо.

Сценарий реализации

Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.

Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках