Introduzione alla sicurezza delle applicazioni Web
Ora viviamo nel mondo del Web. Ogni giorno, ci sono milioni di transazioni che si svolgono nel web in ogni singolo campo come banche, scuole, imprese, Istituti più importanti del mondo, Centri di ricerca. È estremamente importante che i dati in corso di transazione siano molto sicuri e che la comunicazione sia affidabile. Quindi, arriva l'importanza di proteggere il web.
Che cos'è la sicurezza delle applicazioni Web?
La sicurezza delle applicazioni Web è una branca della sicurezza delle informazioni che si occupa della sicurezza delle applicazioni Web, dei servizi Web e dei siti Web. È un tipo di sicurezza dell'applicazione che viene applicata in particolare al livello Web o Internet.
La sicurezza Web è importante poiché le applicazioni Web vengono attaccate a causa di una codifica errata o di una sanificazione non corretta degli input e degli output delle applicazioni. Gli attacchi alla sicurezza Web più comuni sono Cross-site scripting (XSS) e Iniezioni SQL.
Oltre a XSS, SQL Injections, gli altri tipi di attacchi alla sicurezza Web sono l'esecuzione di codice arbitrario, divulgazione di percorsi, danneggiamento della memoria, inclusione di file remoti, overflow del buffer, inclusione di file locali, ecc. La sicurezza Web è completamente basata sulle persone e sui processi. Pertanto, è estremamente importante che gli sviluppatori utilizzino standard di codifica adeguati e controlli di integrità per tali minacce alla sicurezza del Web prima di rendere attivi i siti Web.
I controlli di sicurezza, infatti, devono essere applicati in una fase molto precoce dello sviluppo e continuare ad applicare in ogni fase del ciclo di vita dello sviluppo del software. Gli sviluppatori devono avere una buona formazione in materia di sicurezza informatica e pratiche di codifica sicure. Una volta il test dell'applicazione non è sicuramente efficace. La regressione continua per gli attacchi alla sicurezza Web deve essere implementata in ogni fase.
Standardizzare la sicurezza Web
OWASP (Open Web Application Security Project) è l'organismo standard per la sicurezza delle applicazioni web. Fornisce documentazione, strumenti, tecniche e metodologie complete nel campo della sicurezza delle app Web. OWASP è una delle fonti imparziali di informazioni sulle migliori pratiche di sicurezza delle app Web.
OWASP Principali rischi per la sicurezza Web
Di seguito sono riportati i principali rischi per la sicurezza Web riportati su OWASP.
SQL Injection:
Questo è un tipo di attacco di iniezione che consente di eseguire query SQL dannose e improprie in grado di controllare i database del server Web. Gli aggressori possono utilizzare le istruzioni SQL per ignorare le misure di sicurezza dell'applicazione. Possono autenticare o autorizzare pagine Web o siti Web e ottenere il contenuto dei database SQL ignorando le istruzioni SQL. Questo attacco può verificarsi su siti che utilizzano SQL, MYSQL, Oracle, ecc. Come database. Questo è l'attacco alla sicurezza più diffuso e pericoloso secondo la documentazione di OWASP 2017.
Cross Site Scripting (XSS):
Ciò consente agli aggressori di iniettare script sul lato client in applicazioni Web e pagine Web visualizzate da altri utenti. Una vulnerabilità di scripting tra siti può essere utilizzata per ignorare criteri come la stessa politica di origine. Secondo il 2007, XSS rappresentava l'84% di tutti gli attacchi alla sicurezza sul web.
A seconda della sensibilità dei dati, XSS potrebbe essere un attacco minore o una grave minaccia per i siti Web.
Gli sfruttatori piegano i dati dannosi nel contenuto che viene consegnato al browser client. Quando i dati vengono consegnati sul client, sembra che i dati combinati provengano dal server fidato stesso e abbiano tutti i set di autorizzazioni alla fine del client. L'autore dell'attacco può ora ottenere accesso e privilegi elevati al contenuto della pagina sensibile, ai cookie di sessione e a una varietà di altre informazioni.
Autenticazione interrotta e gestione delle sessioni:
Questo attacco consente di acquisire o aggirare l'autenticazione sulla pagina Web o sull'applicazione.
Si tratta di uno standard più debole seguito dallo sviluppatore di siti Web che causa problemi come ad esempio,
- Credenziali di accesso prevedibili.
- Non protegge correttamente le credenziali di accesso dell'utente quando memorizzate.
- ID sessione esposti nell'URL.
- Password, ID sessione non inviati su URL crittografati.
- I valori della sessione non scadono dopo un determinato periodo di tempo.
Per prevenire questi attacchi, lo sviluppatore dovrebbe fare attenzione a mantenere gli standard adeguati come la protezione delle password e il relativo hashing durante il passaggio, Non esporre gli ID sessione, scadere la sessione dopo un determinato periodo di tempo, ricreare gli ID sessione dopo un accesso riuscito tentativo.
Per correggere l'autenticazione interrotta
- La lunghezza della password deve essere mantenuta ad almeno 8 caratteri.
- La password deve essere complessa per impedire all'utente di prevederla. Questo dovrebbe fare uso di adeguate regole di impostazione della password come caratteri alfanumerici, caratteri speciali e numeri maiuscoli / minuscoli.
- Gli errori di autenticazione non devono mai indicare quale parte dei dati di autenticazione non è corretta. Le risposte all'errore dovrebbero essere in qualche modo generiche. Ad esempio: credenziali non valide anziché mostrare nome utente o password che non sono corretti.
Configurazioni errate di sicurezza:
Questa è una delle cattive pratiche che rende i siti Web vulnerabili agli attacchi. Per es. Configurazioni del server delle app che restituiscono la traccia dello stack completo agli utenti facendo conoscere agli aggressori dove si trova il difetto e di conseguenza attaccano i siti. Per evitare tali casi, è importante implementare un'architettura applicativa avanzata ed eseguire periodicamente le scansioni di sicurezza.
Conclusione
È molto importante che ogni sito Web segua standard adeguati, mantenga le corrette tecniche di codifica con un'architettura delle app solida, esegua periodicamente le scansioni senza errori e cerchi di evitare gli attacchi alla sicurezza Web in misura maggiore.
Articoli consigliati
Questa è stata una guida sulla sicurezza delle applicazioni Web. Qui abbiamo discusso di Introduzione, Standardizzazione, Principali rischi della sicurezza Web. Puoi anche consultare i seguenti articoli per saperne di più -
- Domande di intervista sulla sicurezza informatica
- Domande di intervista sullo sviluppo Web
- Carriera nello sviluppo Web
- Che cos'è Elasticsearch?
- Che cos'è lo scripting tra siti?