BOLA（壊れたオブジェクトレベル認可） とは？

ログインは本人確認で、認証だよ。その人が「この注文を読む」「この文書を削除する」といった操作を許されているかは、認可で確かめる。APIが個々のデータに対する権限を確認し損なうのがBOLAなんだ。

たとえば、自分の注文の番号を指定すると内容が返るAPIで、他人の注文番号を指定しても返ってしまうケースだよ。読み取りだけでなく、変更や削除の権限も確認が必要。IDは数字とは限らず、文字列やUUIDの場合もあるよ。

とても近い問題を指すよ。IDORは、利用者が指定するIDなどを使って、権限のないデータへアクセスできる欠陥の呼び名。BOLAは、OWASPがAPIでのオブジェクト単位の認可の欠陥として整理している。OWASP API Security Top 10の2023年版ではAPI1に挙がっているよ。

推測を難しくする補助にはなるけれど、IDを知った人に権限があるとは限らないよ。サーバー側で「この人が、このデータへ、この操作を行えるか」を確認する。所有者だけでなく、共有設定や所属、役割など、サービスのルールに合わせるんだ。

自分たちの検証環境で、権限が違う利用者とデータを用意し、許可される操作と拒否される操作を試そう。読み取りだけでなく、更新・削除・出力なども確認する。IDの形が変わっても権限のない操作が拒否されることを確かめるんだ。