Seguridad de Aplicaciones Web

Seguridad en Aplicaciones Web Prof. Ing. Gabriel E. Arellano http://www.gabriel-arellano.com.ar/charlas/ Semana Internacional de la Seguridad Informática 2008 U.T.N. - F.R. C. del Uruguay

Contenidos
Las aplicaciones y su seguridad.
Introducción a las aplicaciones web.
Amenazas a las aplicaciones web.
Algunos ejemplos.
Demostración en vivo.
Recursos y lecturas adicionales.

Aplicaciones Web Qué son las aplicaciones web? páginas estáticas? páginas dinámicas? páginas activas? CGI? (X)HTML? Webservices? HTTP? XML? DHTML? Javascript? AJAX?

Aplicaciones Web Ciclo solicitud-respuesta Solicitud + Datos HTTP (GET - POST), Variables de Sesión Respuesta (X)HTML+CSS, XML+XSLT

Componentes Una aplicación web suele requerir varios componentes, cada uno de los cuales implica diferentes amenazas a la seguridad:
Aplicación propiamente dicha.
Lenguaje(s) / Framework.
Servidor web.
Servidor de base de datos.
Navegador Web.

Vulnerabilidades Las amenazas sobre las aplicaciones web se pueden clasificar en tres tipos:
Problemas de validación de datos.
Problemas de autenticación.
Problemas de manejo de sesiones.

Vulnerabilidades Algunos problemas de validación de datos:
SQL Injection.
Cross Site Scripting (XSS).
Buffer Overflow.

Vulnerabilidades Demostración de algunos problemas de validación de datos.

Validación de Datos Prevención:
Nunca confíe en las entradas del usuario.
Nunca asuma que la información proviene de la aplicación.
“Sanear” las entradas de usuario.
Validar en el servidor.
Ocultar errores y fallar en seguro.

Vulnerabilidades Algunos problemas de autenticación:
Falta de politica de contraseñas.
Ataques de fuerza bruta.
Buffer Overflow.
Abuso del “recordar contraseña”

Vulnerabilidades Algunos problemas de manejo de sesiones:
Manipulación de cookies y tokens.
Variables de sesión expuestas.
Cross Site Request Forgery.

Cross Site Request Forgery Política del “mismo origen” document, cookies bank.com blog.net JS

Cross Site Request Forgery Por ejemplo colocando en blog.com: <p> Parece una simple página con un poco de texto, no? <img src="http://bank.com/transfer.php?monto=9000&dest=123" width= " 0 " height="0" /> </p>

Cross Site Request Forgery Ataque a una red “segura”

Vulnerabilidades Demostración de un ataque de CSRF.

Cross Site Request Forgery Prevención:
Evite usar sesiones persistentes.
Usar GET de manera apropiada.
Usar tokens y TTLs.
Reautenticar en el cliente usando AJAX.

Lecturas Adicionales Open Web Application Security Project (OWASP) http://www.owasp.org/
“ Guide to Building Secure Web Applications” . (en español).
“ OWASP Code Review Guide”.
“ SQL Injection Attacks by Example” http://unixwiz.net/techtips/sql-injection.html

Gracias ! Prof. Ing. Gabriel E. Arellano http://www.gabriel-arellano.com.ar/charlas/ (2008) Gabriel E. Arellano Permission is granted to copy, distribute and/or modify this document under the terms of the GNU Free Documentation License, Version 1.2 or any later version published by the Free Software Foundation; with no Invariant Sections, no Front-Cover Texts, and no Back-Cover Texts. The GNU Free Documentation License as applicable to this document can be found at: http://www.gnu.org/copyleft/fdl.html

http://informaticaellacuria.wikispaces.com	283
http://www.slideshare.net	16
http://static.slidesharecdn.com	1
http://www.google.com.co	1

Seguridad de Aplicaciones Web

by Gabriel Arellano on Nov 28, 2008

Accessibility

Categories

Tags

Upload Details

Usage Rights

4 Embeds 301

Statistics

Seguridad de Aplicaciones Web — Presentation Transcript