Test di sicurezza - Esposizione a dati sensibili

Poiché le applicazioni online continuano a inondare Internet giorno dopo giorno, non tutte le applicazioni sono protette. Molte applicazioni Web non proteggono adeguatamente i dati sensibili degli utenti come le informazioni sulle carte di credito / le informazioni sul conto bancario / le credenziali di autenticazione. Gli hacker potrebbero finire per rubare quei dati scarsamente protetti per condurre frodi con carte di credito, furti di identità o altri crimini.

Cerchiamo di comprendere gli agenti di minaccia, i vettori di attacco, la debolezza della sicurezza, l'impatto tecnico e gli impatti sul business di questo difetto con l'aiuto di un semplice diagramma.

Esempio

Alcuni dei classici esempi di configurazione errata della sicurezza sono i seguenti:

  • Un sito semplicemente non utilizza SSL per tutte le pagine autenticate. Ciò consente a un utente malintenzionato di monitorare il traffico di rete e rubare il cookie di sessione dell'utente per dirottare la sessione dell'utente o accedere ai propri dati privati.

  • Un'applicazione memorizza i numeri di carta di credito in un formato crittografato in un database. Al momento del recupero vengono decrittografati consentendo all'hacker di eseguire un attacco SQL injection per recuperare tutte le informazioni sensibili in un testo chiaro. Ciò può essere evitato crittografando i numeri di carta di credito utilizzando una chiave pubblica e consentendo alle applicazioni di back-end di decrittografarli con la chiave privata.

Mani su

Step 1- Avvia WebGoat e vai alla sezione "Archiviazione non sicura". L'istantanea dello stesso è visualizzata di seguito.

Step 2- Immettere il nome utente e la password. È ora di imparare diversi tipi di codifica e metodologie di crittografia che abbiamo discusso in precedenza.

Meccanismi preventivi

  • Si consiglia di non archiviare dati sensibili inutilmente e di eliminarli il prima possibile se non è più necessario.

  • È importante garantire che incorporiamo algoritmi di crittografia forti e standard e che sia in atto una corretta gestione delle chiavi.

  • Può anche essere evitato disabilitando il completamento automatico sui moduli che raccolgono dati sensibili come password e disabilitare la memorizzazione nella cache per le pagine che contengono dati sensibili.