Teste de segurança - exposição de dados confidenciais
Como os aplicativos online continuam inundando a Internet dia após dia, nem todos os aplicativos são protegidos. Muitos aplicativos da web não protegem adequadamente os dados confidenciais do usuário, como informações de cartões de crédito / informações de contas bancárias / credenciais de autenticação. Os hackers podem acabar roubando esses dados fracamente protegidos para conduzir fraude de cartão de crédito, roubo de identidade ou outros crimes.
Vamos entender os Agentes de Ameaça, Vetores de Ataque, Fraqueza de Segurança, Impacto Técnico e Impactos de Negócios dessa falha com a ajuda de um diagrama simples.
Exemplo
Alguns dos exemplos clássicos de configuração incorreta de segurança são os fornecidos -
Um site simplesmente não usa SSL para todas as páginas autenticadas. Isso permite que um invasor monitore o tráfego de rede e roube o cookie de sessão do usuário para sequestrar a sessão do usuário ou acessar seus dados privados.
Um aplicativo armazena os números de cartão de crédito em um formato criptografado em um banco de dados. Após a recuperação, eles são descriptografados, permitindo que o hacker execute um ataque de injeção SQL para recuperar todas as informações confidenciais em um texto não criptografado. Isso pode ser evitado criptografando os números de cartão de crédito usando uma chave pública e permitindo que aplicativos back-end os descriptografem com a chave privada.
Mãos em
Step 1- Inicie o WebGoat e navegue até a seção "Armazenamento inseguro". Um instantâneo do mesmo é exibido abaixo.
Step 2- Digite o nome de usuário e a senha. É hora de aprender diferentes tipos de metodologias de codificação e criptografia que discutimos anteriormente.
Mecanismos Preventivos
É aconselhável não armazenar dados confidenciais desnecessariamente e deve ser removido o mais rápido possível, caso não seja mais necessário.
É importante garantir que sejam incorporados algoritmos de criptografia fortes e padrão e que o gerenciamento de chaves adequado seja implementado.
Também pode ser evitado desativando o preenchimento automático em formulários que coletam dados confidenciais, como senha, e desativando o cache de páginas que contêm dados confidenciais.