Vulnerabilità nascoste delle App Web: Bug o Caratteristica?
Le vulnerabilità delle App Web sono sotto i riflettori: la sicurezza delle applicazioni online è cruciale poiché tali sistemi devono funzionare correttamente, evitare l’operatività al di fuori dei limiti e impedire operazioni non consentite.
Con l’avvento del Web 2.0, App Social, E-Commerce e client email hanno invaso lo spazio internet, rendendo queste vulnerabilità più esposte agli attacchi.
Le vulnerabilità più comuni in questo ambito sono Iniezioni (SQL, Remote Code), Fallimenti Crittografici (precedente esposizione di dati sensibili) e Controllo Accessi Fallito (BAC). Oggi, ci concentreremo su Iniezioni e Broken Access Control.
Iniezioni
Le SQL sono spesso impiegate come Database e contengono dati sensibili come informazioni di pagamento, dati PII e record aziendali. Un’Iniezione SQL è un attacco che utilizza codice SQL maligno per manipolare il database di backend e accedere a informazioni non destinate alla visualizzazione.
Controllo Accesso Fallito
Il Broken Access Control (BAC) è salito nella classifica delle dieci principali minacce secondo l’OWASP, diventando la vulnerabilità più comune. Gli attacchi verticali e orizzontali di escalation dei privilegi sono tipici di BAC.
Ad esempio, la CVE-2019-0211 è stata una vulnerabilità critica di Apache che ha concesso ai malintenzionati l’esecuzione di script non privilegiati, potenzialmente portando all’accesso root e al compromesso dei servizi di hosting condivisi.
Il ritorno al principio del minimo privilegio diventa fondamentale, poiché i rischi di BAC sono cresciuti notevolmente negli ultimi anni.
Best Practices – Leggere tra le Righe (di codice!)
Per mantenere la sicurezza, i developer devono verificare i dati in ingresso, implementare query parametriche nell’interazione con i database e applicare efficaci metodi di gestione delle sessioni per proteggere i dati sensibili.
Le vulnerabilità possono essere mitigare grazie ai Web Application Firewalls (WAFs), che operano a livello 7 del modello OSI e filtrano il traffico dannoso, ma la responsabilità della sicurezza ricade principalmente sui developer.
Input Validation – Un Esempio Pratico
La Validazione degli Input è un metodo efficace per prevenire le Iniezioni SQL. Il codice è progettato in modo che l’input utente venga trattato come dato e non come codice SQL eseguibile, evitando vulnerabilità nel database.
I WAF offrono una difesa solida contro gli attacchi più nuovi, ma la pratica del codice sicuro assicura fondamenta robuste per le App Web.
Risposta agli Incidenti e Recupero
SecurityHQ propone diverse strategie di mitigazione per contrastare gli attacchi e suggerisce pratiche di sviluppo sicuro e test regolari delle vulnerabilità.
Nota: Questo articolo è stato scritto da Tim Chambers, Senior Cyber Security Manager presso SecurityHQ.