Πέντε μέθοδοι επίθεσης στον browser

Πέντε από τις πιο κοινές μεθόδους επίθεσης που εξακολουθούν να είναι η μάστιγα για πολλές ιστοσελίδες αποκαλύπτουν οι εθελοντές του μη κερδοσκοπικού οργανισμού Open Web Application Security (OWASP).

1. SQL Injection

Η SQL injection είναι μια τεχνική εισαγωγής κώδικα (code injection) που εισάγει κακόβουλες εντολές SQL σε ένα πεδίο εισαγωγής και γίνεται αιτία να αντλούνται πληροφορίες που δεν θα έπρεπε από τον web server. Ως αποτέλεσμα, ο web server παρέχει πρόσβαση σε πληροφορίες που θα έπρεπε να είναι ασφαλείς, όπως ονόματα χρηστών και κωδικούς πρόσβασης.

2. Cross Site Scripting (XSS)

Το Cross-Site Scripting είναι η πιο διαδεδομένο κενό ασφαλείας διαδικτυακής εφαρμογής. Συμβαίνει όταν μια εφαρμογή παίρνει μη αξιόπιστα δεδομένα και τα αποστέλλει στον browser χωρίς την κατάλληλη έγκριση. Αυτό επιτρέπει στους επιτιθέμενους να εκτελέσουν τμήματα κώδικα (scripts) σε browsers των θυμάτων όταν αυτοί επισκέπτονται μια ιστοσελίδα, το οποίο μπορεί να έχει ως αποτέλεσμα να κάνουν hijacking στα sessions των χρηστών, να βανδαλίσουν ιστοσελίδες ή να οδηγήσουν τον χρήστη σε κακόβουλες ιστοσελίδες.

3. CSRF (Cross-Site Request Forgery)

Μια επίθεση CSRF υποκλέπτει cookies των θυμάτων και άλλες πληροφορίες authentication που χρησιμοποιούνται για την σύνδεση σε μια ευπαθή ιστοσελίδα. Μόλις ολοκληρωθεί η διαδικασία, ο εισβολέας μπορεί να ελέγξει τα session του θύματος, για παράδειγμα σε μια ιστοσελίδα web banking και να αποκτήσει τον πλήρη έλεγχο στο λογαριασμό. Επειδή η ιστοσελίδα θεωρεί ότι ένας νόμιμος χρήστης είναι συνδεδεμένος (τα cookies του το αποδεικνύουν), είναι πολύ δύσκολο να ανιχνευτεί πότε η επίθεση είναι επιτυχής.

4. Χρήση Components Γνωστών Ευπαθειών

Στοιχεία όπως libraries, frameworks, καθώς και άλλα modules λογισμικού που έχουν γνωστές ευπάθειες έχουν γίνει εύκολη λεία για τους επιτιθέμενους. Ωστόσο, όπως είδαμε με τον πρόσφατο ιό HeartBleed, η αποτελεσματική διαχείριση των patches και η ασφαλής κωδικοποίηση μπορεί να είναι δύσκολη, ειδικά για σύνθετες διαδικτυακές εφαρμογές. Εφαρμογές που χρησιμοποιούν στοιχεία με γνωστές ευπάθειες μπορεί να υπονομεύσουν τους μηχανισμούς άμυνας της εφαρμογής και να επιτρέψουν την πραγματοποίηση μιας σειράς πιθανών επιθέσεων.

5. Man in The Middle

Η επίθεση «man-in-the middle» παρεμβαίνει στην επικοινωνία μεταξύ δύο συστημάτων. Για παράδειγμα, σε μια συναλλαγή http ο στόχος είναι η σύνδεση TCP μεταξύ πελάτη και server. Σε ορισμένες περιπτώσεις, έχουμε δει ιστοσελίδες να μεταφέρουν ευαίσθητες πληροφορίες χωρίς αρκετά ισχυρή κρυπτογράφηση.

Αυτές οι κοινές διαδικτυακές ευπάθειες υπάρχουν σε μεγάλο βαθμό εξαιτίας της έλλειψης προστασίας του ίδιου του κώδικα της web εφαρμογής. Στην θεωρία, αυτό σημαίνει ότι οι ευπάθειες μπορούν να προληφθούν με την εφαρμογή βέλτιστων πρακτικών στο Software Development Life Cycle (SDLC). Ωστόσο, ο ρυθμός αλλαγής και η απαιτητική φύση των αναπτυσσόμενων επιχειρηματικών απαιτήσεων έχει ως αποτέλεσμα πολλές οργανώσεις να παλεύουν με την υλοποίηση ασφάλειας στο SDLC τους πριν να μην είναι πολύ αργά.

Συστάσεις για ανάπτυξη λογισμικού με την ασφάλεια οδηγό, κάνει η Symantec

Για πολλές επιχειρήσεις η ασφάλεια εξακολουθεί να είναι reactive και συχνά εφαρμόζεται αφού ο επιτιθέμενος έχει ήδη κάνει τη ζημιά. Η Symantec προτείνει στις επιχειρήσεις να αξιοποιήσουν την ασφάλεια στην διαδικασία ανάπτυξης, έτσι ώστε να σχεδιαστεί στην διαδικτυακή εφαρμογή από την αρχή. Το κόστος μιας δυνητικά αργής διαδικασίας ανάπτυξης για τη δημιουργία ασφαλούς κώδικα υπερτερεί των κινδύνων αναμονής μέχρι να αποκαλυφθεί ότι υπήρξατε θύμα μίας εξελιγμένης εκστρατείας με επίκεντρο τα απόρρητα δεδομένα σας.Επιπλέον, συνιστάται τόσο το περιβάλλον ανάπτυξης όσο και το περιβάλλον παραγωγής να ελέγχονται από κοινού για τυχόν εξωτερικές απειλές.

• εφαρμογή