### Discovering an OTP Reuse Vulnerability: My First Bug Report から学ぶ

ソース:

medium.com

脆弱性:OTP

 

訳:

#### 発見プロセス

セキュリティを強化するために OTP を採用した Web サイトを使用しているときに、その OTP 処理に異常があることに気付き。
この脆弱性をどのように特定したかを段階的に説明し。

1. **OTP のリクエスト:**
- ログインや身元確認など、Web サイト上でアクションを求める OTP リクエストを開始して。
Web サイトはすぐに私の登録メール アドレスに OTP を送信して。
メールには 10 分間の有効期限が明記されて。

2. **OTP の入力:**
- 受信した OTP を入力して、意図したアクションを完了し。
Web サイトは OTP を正常に検証し、アクセスを許可して。

3. **OTP の再利用:**
- 好奇心から、OTP 検証を必要とする別のアクションを開始して、10 分間以内に同じ OTP を再利用しようと。
驚いたことに、Web サイトは同じ OTP を再度受け入れ、アクションを承認して。

4. **テストの繰り返し:**
- 10 分間の有効期間内に、異なるアクションに同じ OTP を使用して複数のテストを実施。
そのたびに、Web サイトは再利用された OTP を受け入れ、OTP 検証プロセスの欠陥を確認して。

#### 脆弱性の影響

OTP を有効期間内に再利用できると、いくつかのセキュリティ リスクが生じ。
- **セキュリティ対策のバイパス:** 攻撃者が OTP を傍受または推測すると、有効期間内に OTP を複数回再利用し、機密情報にアクセスしたり、不正なアクションを実行したりする可能性があり。
- **OTP の有効性の低下:** OTP の主な目的は、各認証試行が一意で安全であることを保証することで。 再利用を許可すると、このセキュリティ機能が損なわれ、システムが攻撃に対してより脆弱になり。

 

ほなほな。