Linus Neumann

Tür ohne Schloss.

Das ist aber ein sehr, sehr häufiger Fehler bei komplexeren APIs, dass sie nicht sauber durchchecken, dass Mapping aus der Rolle kommt.

Also Authentisierung ist eine Sache, dann kommt ja auch noch Autorisierung.

Das heißt, du bist angemeldet, wunderbar, du bist der Tim, du willst jetzt hier einen administrativen Befehl ausführen, deine Rolle erlaubt das aber nicht, weil du bist ja User.

Genau, das erste ist, wer bist du, das zweite ist, was darfst du.

Genau, und das passiert...

sehr häufig in, also es ist eine Schwachstelle, die man häufig findet und, das ist das Entscheidende, die hat überhaupt nichts zu tun mit der KI.

Das ist also, diese Schwachstelle ist in dem Frontend, was die gebastelt haben, dass am Ende nämlich von der Architektur hast du dann die Web-App, da kann man sich anmelden, da kann man was hinschicken und irgendwo gibt es dann eben auch die so und so viele API-Endpunkte, die sagen, den Inhalt nehme ich jetzt, gib den an einen LLM, krieg die Antwort und gib die zurück.

Da war jetzt offenbar einer dieser Endpunkte, hatte eine SQL-Injection.

SQL-Injection, eine der wunderschönsten Schwachstellen, auch immer wieder sehr schön zu erklären.

Wenn man mit einer Datenbank spricht, dann spricht man eine bestimmte Sprache.

In diesem Fall die Structured Query Language, also eine Datenbanksprache.

SQL ist besonders schön, weil es immer so ein bisschen schlechtes Englisch eigentlich ist.

Select so und so.

Ja, so wie bei uns.

Select Sternchen from Bobby Table, Bobby Drop Table.

Und jetzt das Spannende daran ist, warum SQL-Scharstellen so schön sind, um Security zu erläutern,

Wenn ich jetzt zum Beispiel sage, suche in der Tabelle Nutzer nach dem Nutzer Tim.

Das wäre jetzt etwas, was man im Zweifelsfall macht, wenn jemand sich als Tim anmeldet.

Dann kommt, schickt da jemand hin.