Introducción a la seguridad de aplicaciones web
Ahora estamos viviendo en el mundo de la web. Todos los días, hay una gran cantidad de transacciones que se realizan en la web en todos los campos, como la banca, las escuelas, los negocios, las principales instituciones del mundo, los centros de investigación. Es extremadamente importante que los datos que se están negociando sean muy seguros y la comunicación sea confiable. Por lo tanto, viene la importancia de asegurar la web.
¿Qué es la seguridad de aplicaciones web?
La seguridad de aplicaciones web es una rama de la seguridad de la información que se ocupa de la seguridad de las aplicaciones web, los servicios web y los sitios web. Es un tipo de seguridad de aplicación que se aplica específicamente a nivel web o de internet.
La seguridad web es importante ya que las aplicaciones web son atacadas debido a una mala codificación o una desinfección incorrecta de las entradas y salidas de la aplicación. Los ataques de seguridad web más comunes son las secuencias de comandos entre sitios (XSS) y las inyecciones SQL.
Además de XSS, inyecciones SQL, los otros tipos de ataques de seguridad web son la ejecución de código arbitrario, la divulgación de ruta, la corrupción de memoria, la inclusión remota de archivos, el desbordamiento del búfer, la inclusión de archivos locales, etc. La seguridad web se basa completamente en las personas y los procesos. Por lo tanto, es extremadamente importante que los desarrolladores utilicen los estándares de codificación adecuados y la verificación de la cordura para tales amenazas de seguridad web antes de poner en funcionamiento los sitios web.
Las comprobaciones de seguridad, de hecho, deben aplicarse en una etapa muy temprana del desarrollo y seguir aplicándose en cada etapa del ciclo de vida del desarrollo de software. Los desarrolladores deben estar bien entrenados en ciberseguridad y prácticas seguras de codificación. La prueba única de la aplicación definitivamente no es efectiva. La regresión continua para los ataques de seguridad web debe implementarse en cada etapa.
Estandarizar la seguridad web
OWASP (Open Web Application Security Project) es el organismo de estándares para la seguridad de aplicaciones web. Proporciona documentación completa, herramientas, técnicas y metodologías en el campo de la seguridad de aplicaciones web. OWASP es una de las fuentes de información imparciales sobre las mejores prácticas en seguridad de aplicaciones web.
OWASP principales riesgos de seguridad web
A continuación se presentan los principales riesgos de seguridad web informados en OWASP.
Inyección SQL:
Este es un tipo de ataque de inyección que hace posible ejecutar consultas SQL maliciosas e inadecuadas que podrían controlar las bases de datos del servidor web. Los atacantes pueden usar declaraciones SQL para eludir las medidas de seguridad de la aplicación. Pueden autenticar o autorizar páginas web o sitios web y obtener el contenido de bases de datos SQL sin pasar por declaraciones SQL. Este ataque puede ocurrir en sitios que usan SQL, MYSQL, Oracle, etc. como bases de datos. Este es el ataque de seguridad más frecuente y peligroso según la documentación de OWASP 2017.
Cross Site Scripting (XSS):
Esto permite a los atacantes inyectar secuencias de comandos del lado del cliente en aplicaciones web y páginas web vistas por otros usuarios. Se puede usar una vulnerabilidad de secuencias de comandos entre sitios para omitir políticas como la misma política de origen. Según 2007, XSS representó el 84% de todos los ataques de seguridad en la web.
Dependiendo de la sensibilidad de los datos, XSS podría ser un ataque menor o una amenaza importante para los sitios web.
Los explotadores incorporan datos maliciosos en el contenido que se entrega al navegador del cliente. Cuando los datos se entregan en el cliente, parece que los datos combinados provienen del servidor de confianza y tienen todos los conjuntos de permisos en el extremo del cliente. El atacante ahora puede obtener acceso elevado y privilegios para el contenido sensible de la página, para las cookies de sesión y una variedad de otra información.
Autenticación rota y gestión de sesiones:
Este ataque permite capturar u omitir la autenticación en la página web o aplicación.
Este es un estándar más débil seguido por el desarrollador del sitio web que causa problemas como, por ejemplo,
- Credenciales de inicio de sesión predecibles.
- No protege las credenciales de inicio de sesión del usuario correctamente cuando se almacena.
- ID de sesión que se exponen en la URL.
- Contraseñas, las ID de sesión no se envían a través de URL cifradas.
- Los valores de la sesión no caducan después de un período de tiempo específico.
Para evitar estos ataques, el desarrollador debe tener cuidado al mantener los estándares adecuados, como proteger las contraseñas y el hash correcto de las mismas mientras se pasan, sin exponer las ID de sesión, agotar el tiempo de espera de la sesión después de un período de tiempo específico, volver a crear las ID de sesión después de un inicio de sesión exitoso intento.
Para arreglar la autenticación rota
- La longitud de la contraseña debe mantenerse al menos a 8 caracteres.
- La contraseña debe ser compleja para que el usuario no pueda predecirla. Esto debe hacer uso de las reglas adecuadas para establecer contraseñas, como combinaciones alfanuméricas, de caracteres especiales y de mayúsculas / minúsculas.
- Las fallas de autenticación nunca deben indicar qué parte de los datos de autenticación es incorrecta. Las respuestas de error deben ser genéricas hasta cierto punto. Por ejemplo: credenciales no válidas en lugar de mostrar nombre de usuario o contraseña que es exactamente incorrecta.
Configuraciones erróneas de seguridad:
Esta es una de las malas prácticas que hace que los sitios web sean vulnerables a los ataques. Por ej. Las configuraciones del servidor de aplicaciones devuelven el seguimiento completo de la pila a los usuarios, lo que hace que los atacantes sepan dónde está la falla y, en consecuencia, atacan los sitios. Para evitar tales casos, es importante que se implemente una arquitectura de aplicación sólida y se ejecuten los análisis de seguridad periódicamente.
Conclusión
Es muy importante que cada sitio web siga los estándares adecuados, mantenga las técnicas de codificación adecuadas y tenga una arquitectura de aplicación sólida, ejecute los escaneos periódicamente sin fallas e intente evitar los ataques de seguridad web en mayor medida.
Artículos recomendados
Esta ha sido una guía sobre seguridad de aplicaciones web. Aquí hemos discutido la Introducción, la estandarización, los principales riesgos de la seguridad web. También puede consultar los siguientes artículos para obtener más información:
- Preguntas de la entrevista de seguridad cibernética
- Preguntas de la entrevista de desarrollo web
- Carrera en Desarrollo Web
- ¿Qué es Elasticsearch?
- ¿Qué es la secuencia de comandos entre sitios?