Please enable JavaScript.

Coggle requires JavaScript to display documents.

CAP 4 Autenticacion en Aplicaciones WEB, aplicaciones WEB aplicaciones NO…

- - - - OWASP Apllication Secutiry
      - OWASP Secure Application
      - OWASP Proactive Controls 2016
        
        Validación de datos de entrada
        
        Codificación de datos
        
        Cifrar la información: TLS
        
        Implemetnación de control de acceso
        
        Parametrización de consultas
        
        Implementación de controles de identidad
        
        Verificación de Seguridad Temprana
        
        Protección de Datos.
        
        Seleccionar un FRAMEWOR
  - - - Autent. BASICA
        
        Autenticación por usuario y Contraseña
        
        Cada petición con las credenciales va en el método GET
        
        Se debe asegurar con TLS
      - Autent. DIGEST
        
        Emplea firma MD5.
        
        El servidor emplea mensaje NONCE
        
        EL CLIENTE remite:
        URL, usuarios, contraseña
      - INTEGRADA DE DOMINIO
        
        Trabaja en:
        WINDOWS: Active Directory
        LINUX: kerberos / NTLMv2
        
        NTLMv2 envía dos respuestas de desafío que contienen HMAC-MD5.
        La PRIMERA: 8 bytes de desafío + 16 bytes de hmac-md5.
        La SEGUNDA: Longitud VARIABLE
        
        ATAQUES:
        
        Repetición PASIVOS
        
        Repetición ACTIVOS
        
        Predicción activa de DESAFIOS
        
        KERBEROS:
        Protocolo que maneja:
        
        TGT (ticket para solicitar servicio)
        
        El ticket de servicio
        
        ATAQUES:
        
        Over The Hash-Pass the Key.
        
        Pass the ticket.
        
        Kerberoasting
      - TLS Cert. Digitales
        
        Permite AUTENTICAR + CIFRAR la INFO
        
        Certificados DIGITALES de cliente y servidor
        con AUTENTICACIÓN MUTUA
        
        Certificado DIGITAL con
        AUTENTICACIÓN EN EL SERVIDOR
      - Multiples Factors
        
        Algo que TIENES
        
        Token, Smartcard
        
        Algo que ERES
        
        Huella dactilar, retina del ojo, cara
        
        Algo que SABES
        
        PIN / Contraseña
      - Autent. SINGLE SING (SSO)
        
        Como lo utilizado por:
        GOOGLE accounts: YOUTUBE, GMAIL
        Facebook: CNN, Vimeo, etc..
        
        OpenID Connect:
        Autentica a los usuarios a través de sitios web y aplicaciones sin tner que poseer y adminsitrar contraseñas
      - BASADA EN FORMULARIOS
        
        NO emplea Cabeceras.
        Emplea método POST para los formularios (usuario + contraseña)
        Para la verificación se emplea: RADIUS, SGBD
        
        Si es válida la comprobación:
        
        Se indica al usuario el ÉXITO + ID de sesión.