Безопасность backend приложений

Введение

Последние большие факапы

Помощь профессионалов

A01 Broken Access Control

A01 Broken Access Control
Получить одного пользователя с userID:
Удалить пользователя c userID :
DELETE /users/{userID}
GET /users/{userID}
Получаем данные другого пользователя
Удаляем другого пользователя

Некоторые понятия

Некоторые понятия

Некоторые понятия

A01: Как бороться

A01: Как бороться

A02 Cryptographic Failures
Получаем информацию о пользователе:
GET /users/1
{"userName":"Alex",
"age":25,
"secretAnswer":"HelloWorld"}
Ответ может содержать избыточные данные:
Если фильтрация данных на стороне клиента, можем получить лишние данные

A02: Cryptographic Failures

A02: Как бороться

TLS handshake

Salted hashing

A03 Injection

SQL injection
GET http://.../items/items.asp?itemid={idemId}
SELECT item_name, item_description FROM items
WHERE item_number = #{itemId}
GET http://.../items/items.asp?itemid=999
SELECT item_name, item_description FROM items
WHERE item_number = 999

SQL injection
GET http://.../items/items.asp?itemid=999 OR 1=1
SELECT item_name, item_description FROM items
WHERE item_number = 999 OR 1=1
GET http://.../items/items.asp?itemid=999; DROP TABLE users
SELECT item_name, item_description FROM items
WHERE item_number = 999; DROP TABLE users

SQL Injection – как бороться

OS command Injection
POST /run
{"mkdir":"name"}
Если сервер выполняет команды без проверки, то злоумышленник может послать следующую команду с большой вероятностью вывода сервера из строя:
POST /run
{"mkdir":"name && format C:/"}

OS command Injection – как бороться

A04 Insecure design

A04: Как бороться

A05 Security Misconfiguration

A05: Как бороться

A06 Vulnerable/Outdated Components

A06: Как бороться

A07 Identification/Authentication Failures

A07 Identification/Authentication Failures
Виды аутентификации

A07 Identification/Authentication Failures
Виды аутентификации

A07 Identification/Authentication Failures
API Key
POST https://my-api.com/my-service?key=API_KEY

A07 Identification/Authentication Failures
Basic auth
Authorization: "Basic dXNlcm5hbWU6cGFzc3dvcmQ="
Используется HTTP заголовок 'Authorization’:
Ключевое слово Basic
Пробел
base64 закодированная строка username:password
Механизм поддерживается браузерами

A07 Identification/Authentication Failures
Cookie-Based Authentication
В ответ на запрос аутентификации сервер посылает заголовок Set-Cookie, который содержит имя и значение cookie, а также дополнительные атрибуты: expires, domain, path, secure, httponly
После этого клиент автоматически будет посылать заголовок Cookie при каждом запросе
Set-Cookie: JSESSIONID=123456789; Path=/; HttpOnly
Cookie: JSESSIONID=123456789
Требуется хранить сессии на сервере

A07 Identification/Authentication Failures
Token-Based Authentication
В ответ на запрос аутентификации сервер посылает заголовок Authorization, который содержит ключевое слово Bearer и токен
Может использоваться как часть OAuth 2.0 или OpenID Connect протоколов, так и сервер сам может сформировать токен
Для безопасного использования должен использоваться протокол, который обеспечивает шифрование данных, HTTP заголовков и URL, например HTTPS
Authorization: Bearer eyJhbGciOiJSUzI1NiIsImtpZCI6IjI4Y

A07: Как бороться

A08 Software and Data Integrity Failures

A08 Software and Data Integrity Failures

A08: Как бороться

A09 Insufficient Logging & Monitoring

A09: Как бороться

A10 Server-Side Request Forgery (SSRF)