Přehled nejčastějších rizik a slabých míst aplikace z hlediska bezpečnosti, na které je dobré se zaměřit a vysvětlení nejčastějších typů útoků a metod, jak se lze účinně bránit.

1. ÚVOD DO
BEZPEČNOSTI
NA WEBU
Johan Hornof

2. ▷ Vypisování informací o serveru při chybách
▷ Zpřístupněná administrační konzole
▷ SSL
▷ Autocomplete
▷ Sessions (Session Fixation, SID v URL)
▷ Otevřené porty
▷ Používání SSH hesel vs. klíčů
▷ Firewall (SW vs. HW)
▷ Password Salting
▷ Ochrana formulářů před brute-force útoky
▷ Upload souborů (typy, práva pro přístup k nim)
Konfigurace serveru a aplikací

3. ▷ "SELECT * FROM bla
WHERE a = '" + spatnyKod + "';"
▷ Prepared statements
▷ Escapování (pozor na double escaping)
▷ Omezení práv (např. aplikace většinou
nepotřebuje např. TRUNCATE, GRANT atd.)
SQL Injection

4. ▷ Zobrazení “průhledného” obsahu přes obsah,
na který lze zdánlivě kliknout
▷ Např. skryté FB like nebo i formuláře,
spuštění webkamery/mikrofonu přes flash
▷ Zakázání zobrazení stránky pomocí http X-
FRAME-OPTIONS (alespoň částečné řešení)
▷ Same-Origin Policy
Clickjacking

5. ▷ Klik na link (např. z mailu od útočníka), který
vede na nějakou akci, když je uživatel
přihlášen do administrace jinde
▷ Nepoužívat GET pro změnu záznamů v DB
▷ Autorizační token ve formulářích
Cross-Site Request Forgery (CSFR)

6. ▷ http://example.com?a=<script>alert('Tohle
je XSS útok.');</script>
▷ <?php echo $_GET['a']; ?>
▷ Escapovat
▷ Důkladně ošetřovat jakýkoli vstup od
uživatele, vždy na straně serveru, očekávat z
formulářů jakoukoli hodnotu
▷ (HTTP Response splitting)
Cross-Site Scripting (XSS)

7. ▷ Fyzický přístup
▷ Elevace oprávnění
▷ Pretexting
▷ Phishing
▷ spoustu dalších psychohrátek...
Sociální inženýrství a ostatní

8. ▷ Denial of Service, Distrubuted Denial of Service
▷ ICMP (ping, broadcast)
▷ Padělání headeru paketu, otevření mnoha spojení
▷ hromadné útoky z botnetů
DoS / DDoS

9. Díky za pozornost!
Otázky?
Johan Hornof
johan.hornof@keyup.eu