Säkerhet i applikationslagret och slaget om webben. John Wilander, Omegapoint, Rätt säkerhet, maj 2010

Transkript

1 Säkerhet i applikationslagret och slaget om webben John Wilander, Omegapoint, Rätt säkerhet, maj 2010

2 John Wilander, konsult Omegapoint Forskar inom mjukvarusäkerhet Leder svenska OWASP Certifierad inom Javautveckling och Security Development Lifecycle OWASP En öppen, icke-kommersiell community för alla som utvecklar, förvaltar eller köper webbapplikationer med höga säkerhetskrav

3

4 IT-säkerhet Systemutveckling

5 IT-säkerhet Applikationssäkerhet Systemutveckling

6 Var på jorden är det viktigt att utveckla säker programkod?

7 Windows, Office

8 Cisco-routers

9 SAP

10 Applikationer!

11 2010 Rich Internet Applications

12 Applikationer utvecklas överallt

13 Hemsidor övergår i webbapplikationer

14 Webbapplikationer exponeras för Internet

15 Alla utvecklare måste förstå säkerhet

16 OWASP Top 10 Top web application security risks 2010

17 1. Injection 2. Cross-Site Scripting (XSS) 3. Broken Authentication and Session Management 4. Insecure Direct Object References 5. Cross-Site Request Forgery (CSRF) 6. Security Misconfiguration 7. Insecure Cryptographic Storage 8. Failure to Restrict URL Access 9. Insufficient Transport Layer Protection 10.Unvalidated Redirects and Forwards

18 <script> document.onkeypress = function(e) { new Image().src = ' + String.fromCharCode(e.charCode) } </script>

19 <script src= > </script>

20 1. Injection 2. Cross-Site Scripting (XSS) 3. Broken Authentication and Session Management 4. Insecure Direct Object References Läs 5. hela Cross-Site pdf:en Request på Forgery (CSRF) 6. Security Category:OWASP_Top_Ten_Project Misconfiguration 7. Insecure Cryptographic Storage 8. Failure to Restrict URL Access 9. Insufficient Transport Layer Protection 10.Unvalidated Redirects and Forwards

21 Skyddsvärda fundament för säkra webbapplikationer

22 Same Origin Cookies Policy SSL

23 Same Origin Policy

24 banken.se aktieinfo.de

25 banken.se aktieinfo.de Köp

26 banken.se aktieinfo.de Köp

27 banken.se aktieinfo.de Köp

28 Same Origin Policy banken.se aktieinfo.de Köp

29 banken.se aktieinfo.de Köp

30 Same Origin Policy banken.se aktieinfo.de Köp

31 Kringå Same-Origin Policy Kommunicera server-side Använd JSONP JSON with Padding Sätt gemensam document.domain

32 banken.se aktieinfo.banken.se Köp

33 banken.se aktieinfo.banken.se Köp

34 banken.se aktieinfo.banken.se Skadligt skript

35 banken.se aktieinfo.banken.se

36 banken.se aktieinfo.de

37 Men vi ville ju integrera :(

38 Content Security Policy (förslag från Mozilla) banken.se aktieinfo.de Vitlista på källor för skript

39 Content Security Policy (förslag från Mozilla) banken.se aktieinfo.de Vitlista på källor för skript

40 Cookies

41 HTTP tillståndslöst GET HTTP/1.1 HTTP/ OK

42 HTTP tillståndslöst GET HTTP/1.1 HTTP/ OK

43 Att hålla en session Sessions-ID i URL ;sessionid=1234 Sessions-ID i gömda formulärfält <INPUT TYPE= hidden NAME= sessionid VALUE= 1234 > Sessions-ID i kaka Set-Cookie: sessionid= 1234

44 HTTP + session GET HTTP/1.1 HTTP/ OK

45 Sessionsattacker Cookie replay (återanvända) Cookie poisoning (skapa eller manipulera) Cookie hijacking (stjäla) Session fixation (sätta kaka åt offret)

46 Sessionsskydd Secure (bara skicka krypterat) HTTPOnly (ej tillgänglig för skript) Inget hemmasnickrat

47 SSL

48

49

50

51

52 Var är hänglåset?

53

54

55

56 <div class="menu_login_container"><form method="post" action=" login.facebook.com/login.php?login_attempt=1" id="login_form">

57 <div class="menu_login_container"><form method="post" action=" login.facebook.com/login.php?login_attempt=1" id="login_form"> Samma källkod? JavaScript som sniffar?

58 Moxie s SSL Strip Avbryter SSL Gör om https till http Normal https till servern Agerar klient

59 SSL Strip & Tor-nätet

60 SSL Strip & Tor-nätet login.yahoo.com Gmail Hotmail PayPal På 24 h

61 Antal som avbröt pga saknad kryptering: 0

62 Same Origin Cookies Policy SSL

63 Same Origin Content Policy Security Policy Cookies Äkta sessioner? SSL DNSSec?

64