Introducción a La Seguridad Desde La Perspectiva Del Desarrollador V2

Loading...

Flash Player 9 (or above) is needed to view presentations.
We have detected that you do not have it on your computer. To install it, go here.

0 comments

Post a comment

    Post a comment
    Embed Video
    Edit your comment Cancel

    2 Favorites

    Introducción a La Seguridad Desde La Perspectiva Del Desarrollador V2 - Presentation Transcript

    1. Introducción a la Seguridad desde la perspectiva del Desarrollador Juan Pablo García Gerente de Desarrollo Datco Chile [email_address] http://liarjo.spaces.live.com Martín Cabrera Gerente de Arquitectura y Desarrollo Microsoft Chile [email_address] http://liarjo.spaces.live.com
    2. La seguridad y la deformación mediática
    3. Top 10: Errores de desarrollo Web (OWASP)
      • Parámetros no validados
      • Burlar el control de acceso
      • Burlar la administración de cuentas y sesiones
      • Defectos de Cross-Site Scripting (XSS)
      • Buffer Overflows
      • Defectos de Command Injection
      • Problemas de manejo de Errores
      • Uso inseguro de criptografía
      • Errores de administración remota
      • “ Misconfiguration” de servidores y aplicaciones
    4.  
    5. Fundamentos de la Seguridad
    6. Autenticación
      • ¿Quién es quien?
      • ¿Qué credenciales se necesitan para validar la identidad?
      • La complejidad está en que se van a conectar usuarios finales, otras aplicaciones, etc
    7. Técnicas de Autenticación
      • Para aplicaciones Web:
        • Básica
        • Integrada (Windows)
        • Certificados digitales
        • Windows Live (Passport)
      • Otras
        • Smartcards (certificados)
        • Biometría
    8. Autorización
      • Determina las operaciones que un usuario/sistema autenticado puede realizar sobre mi aplicación
      • Determina también los recursos/componentes de mi aplicación que un usuario autenticado puede manipular
    9. Técnicas de Autorización
      • Custom
      • Basadas en roles
      • Pueden ser directas o indirectas (ej: delego a la base SQL).
      • Se implementa a nivel de todas las capas
    10. Auditoría
      • Nos permite saber ¿quién hizo qué? y ¿cuando lo hizo?
      • Se implementa tradicionalmente a través de notificaciones y logging.
    11. Técnicas de Auditoría
      • Utilizar frameworks de Logging como log4net o System.Diagnostics
      • Implementar logging a distintos niveles (Error, Info, Debug)
      • Custom
    12. Confidencialidad
      • Es la necesidad de que la información únicamente sea conocida por personas autorizadas
      • Para garantizar la confidencialidad se deben proteger los datos sensibles mediante control de acceso y encriptación de los datos
    13. Encriptación
      • Es el proceso de codificación de la información
        • Una clave es una cadena de bits que varía el resultado de una determinada encriptación
      • La encriptación sólo es tan fuerte como la fuerza de su clave
      Algoritmo de encriptación Clave Datos
    14. Encriptación Termino Criptográfico Descripción Encripción Simétrica Encriptado y desencriptado de datos con una clave secreta Encripción Asimétrica Encriptado y desencriptado de datos con un par de claves pública/privada Hashing Mapeo de una cadena grande de información a una cadena corta y de longitud fija Firma Digital Hashing de los datos y encriptado asimétrico del hash con la clave privada
    15. Encriptación Simétrica
      • Se utiliza la misma clave y el mismo algoritmo para codificar y decodificar la información
      • Rápida y eficiente
      • Es difícil intercambiar las claves de manera segura con lo que se modifican frecuentemente
      Datos Datos Encriptar Desencriptar La clave es conocida por el emisor y el receptor
    16. Encriptación Asimétrica
      • Dos claves, una privada y una pública
      • Los mensajes codificados con la clave pública sólo pueden ser decodificados usando la clave privada y vice versa
      • La encriptación asimétrica es más segura que la simétrica, pero no tan eficiente
    17. Encriptación Asimétrica
    18. Integridad
      • Es que contenido permanezca inalterado a menos que sea modificado por personal autorizado, y esta modificación sea registrada, asegurando su precisión y confiabilidad.
      • La integridad de un mensaje se obtiene adjuntándole otro conjunto de datos de comprobación de la integridad: la “huella digital” (hash)
    19. Integridad SI NO Clave Pública Clave Privada Mensaje Hash Hash (Encriptado) MD5 Mensaje MD5 Hash’ Mensaje Hash (Encriptado) Hash (Encriptado) Hash Hash’ = Hash Mensaje integro y autentico Mensaje manipulado o desconocido
    20. Disponibilidad
      • Desde la perspectiva de seguridad, Disponibilidad significa que mi aplicación permanezca activa para usuarios legítimos.
      • Controlar intentos de ataques de carga masiva es uno de los aspectos que debemos controlar para asegurar que la aplicación se mantiene disponible.
    21. Disponibilidad Mitigación de DOS
      • En el Código
      • Validación del imput de Datos
      • Trate de no permitir operaciones que consuman mucha CPU, “atomice”
      • Trate de crear pocos cuellos de botella
      • Fije Time Out estrictos
      • En el Deployment
      • Use balanciadores de Carga
      • Use metodos de Caché
      • Instale aplicaciones de manera distribuida
    22. Buenas Prácticas
      • Ejecutar con privilegios mínimos
      • Reducir las interfaces de ataque
      • No confiar en el ingreso de datos del usuario
      • Defensa en capas
      • No confiarse en la seguridad por ocultamiento
      • Use la API Data Protection ( DPAPI ) para proteger sus secretos
      • Pruebe la seguridad
      • Aprenda de sus errores
    23. Lectura Recomendada
    24. GRACIAS! Nombre: E-mail:
    25. Introducción a la Seguridad desde la perspectiva del Desarrollador Juan Pablo García Gerente de Desarrollo Datco Chile [email_address] http://liarjo.spaces.live.com Martín Cabrera Gerente de Arquitectura y Desarrollo Microsoft Chile [email_address] http://liarjo.spaces.live.com
    26. BUFFER
    27. Vulnerabilidades más comunes
    28. Principios de Seguridad
    29. Una pelea desigual ¿Necesito seguridad?… Retos Razones Hackers vs. Defensores
      • Un hacker necesita conocer UNA vulnerabilidad; el defensor necesita asegurar TODAS las vías de entrada
      • Los hackers disponen de todo el tiempo del mundo
      Seguridad vs. Usabilidad
      • Los sistemas seguros son más difíciles de usar
      • Las contraseñas largas y complejas son difíciles de recordar
      • Los usuarios prefieren contraseñas simples
      Seguridad a posteriori
      • Los programadores y los ‘managers’ suelen pensar que la seguridad no añade ‘valor’ a la solución
      • La seguridad se trata normalmente justo antes de distribuir el producto, cuando corregir los fallos es muy caro
    30. Importancia de la seguridad en las aplicaciones Vulnerabilidades comunes
      • Dos fallos principales de seguridad
        • Confianza en los datos de entrada
          • “ ¡Todos los datos de entrada son culpables hasta que se demuestre lo contrario!”
            • Son la fuente de los problemas más graves
          • Buffer Overruns
          • Inyección de SQL
          • Cross-site Scripting
        • Todo lo demás
    31. Prácticas aconsejables de seguridad Un marco de seguridad SD 3 Seguro por Diseño (Design) Seguro por Defecto (Default) Seguro en la Distribución (Deployment)
      • Arquitectura y código seguros
      • Análisis de riesgos
      • Reducción de vulnerabilidades
      • Reducción del posible área de ataque
      • Características no usadas del producto sin habilitar por defecto
      • Requerir mínimos privilegios privilege
      • Proteger, detectar, defender, recuperar, administrar
      • Procesos: How to’s, guías de arquitectura
      • Formación

    + liarjoliarjo, 9 months ago

    custom

    377 views, 2 favs, 0 embeds more stats

    Presentación de introduccion a la seguridad para p more

    More info about this document

    © All Rights Reserved

    Go to text version

    • Total Views 377
      • 377 on SlideShare
      • 0 from embeds
    • Comments 0
    • Favorites 2
    • Downloads 12
    Most viewed embeds

    more

    All embeds

    less

    Flagged as inappropriate Flag as inappropriate
    Flag as inappropriate

    Select your reason for flagging this presentation as inappropriate. If needed, use the feedback form to let us know more details.

    Cancel
    File a copyright complaint
    Having problems? Go to our helpdesk?

    Categories