Безопасность интернет-приложений осень 2013 лекция 5

2

«Кто?»

«Что разрешено?»

«Что делал?»

3

ldap, radius, soap

AAAWEB

Log

4

Html form-based http basic auth/digest authMultifactor

SSL certs/smartcardsOpenID

5

- Пустое значение- Слишком короткий- Пароль = логин- Пароль по умолчанию- Словарный пароль

7

рабочая станция роутер

провайдер

хостинг

локальная сеть

8

- SSL/TLS- Challenge-response

9

- Периодическая смена (устаревание) - Смена при инциденте (disaster plan)

Типичные ошибки:- Сообщение «пользователь отсутствует»- Отсутствие подтверждения старого пароля- Отсутствие защиты от перебора старого пароля- csrf

10

- Оповещение ссылкой на смену- Смена при следующем входе- Создание и отправка нового

11

Типичные ошибки:- Простые челленджи (секретные вопросы)- Подбор секретного вопроса- Раскрытие данных пользователя- Логин при вводе правильного челленджа- Отправка кода восстановления на указанный адрес/номер- Подбор «одноразовой ссылки»

12

$nc somehost.com

GET / HTTP/1.1

Host: somehost.com

Cookie: Storeduser=mike

HTTP/1.1 200 Ok

Server: nginx

Date: Fri, 12 Nov 2012 14:42:04 GMT

Content-Type: text/html; charset=UTF-8

Connection: close

Set-Cookie: session=mike:0b0a2371cc93f46b; secure; HttpOnly

Content-Length: 5279

13

trim(passwd): “ pass”, “pass”, “p.ass”,”@@pass”

substr(passwd,0,8): “password”,”password1234”

tolower(passwd):”password”,”PASSWORD”,”Password”

14

Типичные ошибки:- Отправка пароля в открытом виде по email- Бессрочный “account activation”- Подбираемый “account activation”

15

Типичные ошибки:- store(passwd)- store(md5(passwd))- store(customcrypt(passwd))

16

- ошибки создания сессии- ошибки валидации- ошибки хранения

17

randomseed(const);session = md5(rand());

session = base64(“user:”+login + “date:”+date);

session = md5(passwd);

session = md5(timestamp()+passwd);

session = encrypt(user.data);

18

GET-метод:somesite.com?sess=0102030010394&a=1

- Попадание в логи- Кеш поиска- Реферреры

Даунгрейд с https к http - Перехват на сетевом уровне

19

Чтение сообщений

Модерация

Изменение настроек

САЙТ

пользовательмодераторадмин

20


Модерация


САЙТ


21


Модерация


САЙТ


22


Модерация


САЙТ


23


Модерация


САЙТ


24


Модерация


САЙТ


25

- Прямой вызов ресурса

- Контроль доступа параметром

- Нарушение последовательности вызовов

- Контроль доступа реферерром

- Контроль по местоположению

26

Выбор товаровПереход в

корзинуОплата Доставка

27



28



29

LET’S PLAY!

30

Set-Cookie: hand=10,J,Q,K,A

Set-Cookie: hand=2,3,5,J,Q

31

Cookie: hand=10,J,Q,K,A

32

Cookie: hand=10,J,Q,K,A

Cookie: hand=Q,Q,Q,Q,Q

WIN!

Безопасность интернет-приложений осень 2013 лекция 5

Education

Transcript of Безопасность интернет-приложений осень 2013 лекция 5