Please enable JavaScript.

Coggle requires JavaScript to display documents.

TEMA 2. Seguridad de las aplicaciones online - Coggle Diagram

- - - - Autenticación básica (Basic) – HTTP. Configurable en los servidores web y de aplicaciones, se basa en autenticación por
        usuario y contraseña enviada en la cabecera de los mensajes HTTP
      - Autenticación Digest – HTTP. Utiliza firma (hash) criptográfica: MD5. (RFC2617 – http 1.1 Challenge/Response).
      - Autenticación integrada en dominio (directorio activo).Configurable a través de Windows active directory o Linux open ldap mediante protocolo NTLMv2 o KERBEROS, son esquemas de seguridad diseñados para un dominio en Intranets, no siendo común en Internet. En este de implementación las credenciales residen en el repositorio del directorio activo que hay que proteger, a su vez, de accesos indebidos.
        
        Ataques NTLM es un protocolo que se basa en los mismos conceptos que digest, envía dos respuestas a un desafío de servidor de 8 bytes.Existen ataques que puede sufrir el protocolo NTLM v2:Ataques de repetición pasivos,Ataques de repetición activos, Predicción activa de desafíos.
        
        Ataques a kerberos es un protocolo, que maneja el concepto de TGT(ticket para solicitar servicios) y de ticket de servicio para acceder a los servicios.
        
        Pass The Ticket (PTT)
        
        Kerberoasting
        
        Overpass The Hash-Pass The Key (PTK)
        
        Golden Ticket y Silver Ticket
      - Autenticación SSO (Sigle Sign On) Permite accesos a múltiples sitios, válidos tanto para Intranets como para Internet, GOOGLE ACCOUNTS: YouTube, Gmail, Google talk. FACEBOOK: CNN, Vimeo
      - TLS Certificados digitales cliente (https 443) Se requiere usar TLS en todos los sitios web como doble factor de autenticación si se utiliza autenticación de cliente, en este caso se además de autenticar al cliente y éste al servidor, se cifra la comunicación. Permiten dos modalidades de autenticación: Certificados digitales en cliente. (Permite autenticar a los clientes), Servidor o únicamente de servidor. (Solo se autentica al servidor).
      - Autenticación de múltiples factores Se denominan así a los sistemas de autenticación que emplean más de un mecanismo de autenticación, autentificación de múltiples factores: -Algo que sabes: contraseña o PIN, -Algo que tienes: token, smart-card que generan criptográficamente un código a intervalos fijos basados en una semilla única para cada token. Además, requieren un PIN. -Además, algo que eres: huella dactilar, retina ojo, cara, etc
      - Autenticación desde la aplicación web (basada en formularios) No hace uso de las cabeceras, está basada en formularios utilizando método POST donde se introducen el usuario y la contraseña y a continuación se envían a la aplicación, donde se valida accediendo a la base de datos de credenciales que puede ser un SGBD, RADIUS, fichero, etc
- - - - Scan pasivo Es un análisis de las cabeceras de las peticiones GET, POST a la aplicación web. Se examina la ausencia de determinados parámetros en las cabeceras que proporcionan seguridad como httponly, que prohíbe acceder a cookies si no es desde el protocolo HTTP directamente.
      - Scan activo Este scan inyecta «payloads» (strings maliciosos) en los campos de entrada accesibles de la aplicación y en base a un análisis sintáctico de las respuestas obtenidas informa de posibles vulnerabilidades.
      - Crawling Es una fase de descubrimiento de la aplicación web, su estructura de directorios, formularios, etc. Mediante esta fase se obtiene su contenido accesible para poder atacarla posteriormente.
      - Auditoria Esta fase no es automática, la debe realizar el analista con ayuda de la herramienta manualmente.
      - Reconocimiento de las capas de la aplicación Consiste en averiguar todo lo posible con respecto a las capas de la aplicación, tecnologías usadas, OS, servidor de aplicaciones, SGBD, puertos que se utilizan, lenguajes de programación, de scripting, etc.
    - - Bloquear (RASP)
      - Sanear
      - Generar un informe (IAST-RAST)
    - - Características
        
        Arquitectura y diseño
        
        Análisis intraprocedural o local
        
        Análisis global o interprocedural
        
        Análisis léxico, sintáctico y semántico
    - - Este tipo de herramientas dentro del mundo de las aplicaciones web se denominan scanners semia-utomáticos de vulnerabilidades de aplicaciones web (WEBINSPECT, PAROS, OWASP ZAP o BURP SUITE)
- - - - Recordar: ID de sesión = credenciales Parámetros GET: ataques de “replay” triviales, Cookie: Fijar la cookie en la memoria del navegador Web (sesión) o fichero (persistente).
      - Suplantación de usuarios Solo hace falta un ID de sesión válido
    - - Evaluar el seguimiento de sesiones antes y después de autenticación (y comparar)
        
        Fijar el ID a posibles víctima
        
        Obtener un ID válido (pre/post autenticación)
        
        Identificar el mecanismo de intercambio del ID de sesión
        
        La víctima se autentica con sus credenciales
        
        El atacante con mismo id de sesión obtiene credenciales
        
        Analizar la respuesta tras la autenticación
    - - Fuerza bruta de la sesión-> Problema: ID de sesión corto
      - Predicción ->Problema: ID de sesión no aleatorios Adivinar el valor de un ID de sesión válido, Análisis estadístico avanzado: ¿secuencial o patrón?
    - - Cross-Site Scripting (XSS) Reflejado (no persistente). Almacenado(persistente)
        
        El atacante inyecta código HTML scripts aprovechando entradas no validadas en código lado servidor. El script envía las cookies de la página actual al servidor del atacante.
        
        inyectar scripts maliciosos
        
        acceso a cookie
        
        historial navegador
    - - Captura (activo) Intercepción del tráfico de red (! SSL/TLS) - MitM. Vulnerabilidades del navegador Web. Robo del ID de sesión: XSS
      - Revelación (pasivo) Enlaces Web, logs, navegador Web, Referer, buscadores (url:jsessionid, url:phpsessid). Ingeniería social.
    - - acceder a la DB de sesiones (back-end)
    - - sacar ventaja de la existencia de una sesión válida.
  - - - -Applet
      - -Macromedia Flash
      - -Java Web Start
      - -DHTML
      - -DHTML con Iframe
      - -AJAX
  - - - Aumento de la superficie de ataque
      - Exposición de la lógica de la aplicación en el cliente
      - Exposición de funciones internas del servidor
      - Acceso a recursos de terceros con baja seguridad
      - Violación de la «política del mismo origen
      - Acceso al DOM
      - Repudio de peticiones
      - Mayor dificultad en la auditoría de aplicaciones
      - Potenciación del XSS, CSRF y SQLi
      - Despliegue masivo e incontrolado
  - - - Capacidades de logout (botón) siempre (menú)
      - Definir y ajustar temporizadores (automáticos)
      - Manual, actividad, y absoluto
    - - ID invalido en servidor y limpiar cookie en cliente
    - - domain & path & expires… muy restrictivos
      - HttpOnly: Bloquear acceso desde scripts (XSS).
      - Secure: Canales SSL/TLS unicamnete.
    - - Usar “secure” cookies -El navegador Web sólo las envía sobre HTTPS no hace caso de scripts.
      - ID de sesión disponible sólo tras la autenticación -Diferentes cookies para distintos propósitos
      - Capa de transporte: HTTPS (TCP/443) sólo! -Evitar el error común de redirección 30x (443 a 80), Evitar el error común de redirección 30x (443 a 80)
        ¡No abrir el puerto TCP/80!
      - No aceptar ID,s previos en paginas criticas. - Generar nuevos ID,s para cada nueva sesión y para las partes criticas de la aplicación.
      - SSL/TLS siempre. -No sólo durante la autenticación (toda la sesión)
      - Tras un cambio de privilegios, asignar un nuevo ID y borrar el previo (renovar el ID)
      - SSL/TLS no protege frente a predicción del ID de sesión, fuerza bruta y modificación. -Evita revelar el ID de sesión en el tráfico de red
      - Renovar los IDs de sesión en cada pet/resp (!) - Misma sesión, pero distintos IDs
      - Verificar el ID junto a propiedades del cliente. -Dirección IP, certificado digital…