Introdução à segurança de aplicativos da Web
Agora estamos vivendo no mundo da Web. Todos os dias, há um zilhão de transações na web em todos os campos, como bancos, escolas, negócios, Instituições de destaque do mundo, centros de pesquisa. É extremamente importante que os dados que estão sendo negociados sejam muito seguros e a comunicação confiável. Daí a importância de proteger a web.
O que é segurança de aplicativos da Web?
A segurança de aplicativos da Web é um ramo da segurança das informações que lida com a segurança de aplicativos, serviços e sites da Web. É um tipo de segurança de aplicativo aplicada especificamente ao nível da Web ou da Internet.
A segurança da Web é importante, pois os aplicativos da Web são atacados devido à codificação incorreta ou à limpeza inadequada das entradas e saídas do aplicativo. Os ataques de segurança da Web comuns são o script entre sites (XSS) e as injeções de SQL.
Além do XSS, SQL Injections, os outros tipos de ataques à segurança na Web são execução arbitrária de códigos, divulgação de caminhos, corrupção de memória, inclusão remota de arquivos, estouro de buffer, inclusão local de arquivos etc. A segurança da Web é completamente baseada nas pessoas e nos processos. Portanto, é extremamente importante que os desenvolvedores usem padrões de codificação e verificação de integridade adequados para essas ameaças à segurança da web antes de tornar os sites em operação.
As verificações de segurança, de fato, precisam ser aplicadas em um estágio muito inicial de desenvolvimento e continuar sendo aplicadas em todos os estágios do ciclo de vida de desenvolvimento de software. Os desenvolvedores precisam ser bem treinados em segurança cibernética e práticas seguras de codificação. O teste único do aplicativo definitivamente não é eficaz. A regressão contínua para ataques à segurança da Web precisa ser implementada em todas as etapas.
Padronizando a segurança na Web
OWASP (Open Web Application Security Project) é o corpo de padrões para segurança de aplicativos da web. Ele fornece documentação, ferramentas, técnicas e metodologias completas no campo da segurança de aplicativos da web. OWASP é uma das fontes imparciais de informações sobre as melhores práticas em segurança de aplicativos da web.
Principais riscos de segurança na Web da OWASP
Abaixo estão os principais riscos de segurança da web relatados no OWASP.
Injeção SQL:
Esse é um tipo de ataque de injeção que possibilita a execução de consultas SQL mal-intencionadas e inadequadas, que podem controlar os bancos de dados do servidor da web. Os invasores podem usar instruções SQL para ignorar as medidas de segurança do aplicativo. Eles podem autenticar ou autorizar páginas ou sites e obter o conteúdo de bancos de dados SQL ignorando instruções SQL. Esse ataque pode ocorrer em sites que usam SQL, MYSQL, Oracle etc. como bancos de dados. Este é o ataque de segurança mais prevalente e perigoso, de acordo com a documentação da OWASP 2017.
Script entre sites (XSS):
Isso permite que os invasores injetem scripts do lado do cliente em aplicativos e páginas da web visualizados por outros usuários. Uma vulnerabilidade de script entre sites pode ser usada para ignorar políticas como a mesma política de origem. De acordo com 2007, o XSS representou 84% de todos os ataques de segurança na web.
Dependendo da sensibilidade dos dados, o XSS pode ser um ataque menor ou uma grande ameaça aos sites.
Os exploradores dobram dados maliciosos no conteúdo que está sendo entregue ao navegador do cliente. Quando os dados são entregues no cliente, parece que os dados combinados vieram do próprio servidor confiável e têm todos os conjuntos de permissões no final do cliente. O invasor agora pode obter acesso e privilégios elevados ao conteúdo confidencial da página, aos cookies de sessão e a uma variedade de outras informações.
Autenticação quebrada e gerenciamento de sessões:
Esse ataque permite capturar ou ignorar a autenticação na página da web ou no aplicativo.
Esse é um padrão mais fraco seguido pelo desenvolvedor do site que causa problemas como, por exemplo,
- Credenciais de login previsíveis.
- Não está protegendo as credenciais de login do usuário corretamente quando armazenadas.
- IDs de sessão sendo expostos no URL.
- Senhas, IDs de sessão que não estão sendo enviados por URLs criptografados.
- Os valores da sessão não atingem o tempo limite após um período específico.
Para evitar esses ataques, o desenvolvedor deve ter cuidado em manter os padrões adequados, como proteger senhas e hash adequado durante a transmissão, não expor IDs de sessão, atingir o tempo limite da sessão após um período específico, recriar IDs de sessão após um login bem-sucedido tentativa.
Para corrigir autenticação quebrada
- O tamanho da senha deve ser mantido com pelo menos 8 caracteres.
- A senha deve ser complexa para tornar o usuário incapaz de prever. Isso deve usar regras de conjunto de senha adequadas, como alfanumérico, caractere especial e combinações de letras maiúsculas / minúsculas.
- As falhas de autenticação nunca devem indicar qual parte dos dados de autenticação está incorreta. As respostas de erro devem ser genéricas até certo ponto. Por exemplo: credenciais inválidas em vez de mostrar o nome de usuário ou a senha que estão incorretos.
Configurações incorretas de segurança:
Essa é uma das más práticas que tornam os sites vulneráveis a ataques. Por exemplo. Configurações do servidor de aplicativos retornando rastreamento de pilha completa para os usuários, informando aos invasores onde está a falha e, consequentemente, atacando os sites. Para evitar esses casos, é importante que uma forte arquitetura de aplicativo seja implementada e execute as verificações de segurança periodicamente.
Conclusão
É muito importante que todos os sites sigam os padrões adequados, mantenham técnicas de codificação adequadas, tenham uma arquitetura de aplicativo robusta, executem as verificações periodicamente sem falhas e tentem evitar os ataques de segurança da Web em maior medida.
Artigos recomendados
Este foi um guia sobre segurança de aplicativos da Web. Aqui discutimos a introdução, padronização e os principais riscos da segurança na Web. Você também pode consultar os seguintes artigos para saber mais -
- Perguntas da entrevista sobre segurança cibernética
- Perguntas da entrevista sobre desenvolvimento na Web
- Carreira em Desenvolvimento Web
- O que é o Elasticsearch?
- O que é script entre sites?