Einführung

In der Internetwelt voller Cyberkriminalität ist es für Entwickler entscheidend, potenzielle Sicherheitslücken zu verstehen, die Anwendungen haben könnten.

Der beste Ausgangspunkt, um sich mit einigen der häufigsten Sicherheitsprobleme vertraut zu machen, ist OWASP Top 10 .

Indem Sie als Entwickler die häufigsten Anwendungssicherheitsprobleme untersuchen und sich mit ihnen vertraut machen, können Sie es sich zur Gewohnheit machen, beim Erstellen Ihrer Apps über Sicherheitsaspekte nachzudenken.

Dies kann Ihnen helfen, die Sicherheit Ihrer aktuellen und zukünftigen Projekte zu erhöhen und möglichen Schäden durch Bösewichte vorzubeugen.

Was ist OWASP?

Das Open Web Application Security Project (OWASP) ist eine Vereinigung, die Best-Practice-Tools und -Ressourcen für Software- und Sicherheitsingenieure bereitstellt.

Was sind die Top 10 von OWASP?

Owasp Top 10 ist ein Standardbewusstseinsdokument für Entwickler und die Sicherheit von Webanwendungen. Es repräsentiert einen breiten Konsens über die kritischsten Sicherheitsrisiken für Webanwendungen.

Die aktuelle Version der OWASP Top 10 wurde 2017 veröffentlicht und enthält die folgenden Risiken:

1. Injektionsfehler
   Ein Injektionsfehler ist eine Schwachstelle, die es einem Angreifer ermöglicht, bösartigen Code über eine Anwendung an ein anderes System weiterzuleiten. Dies kann die Kompromittierung sowohl von Backend-Systemen als auch von anderen Clients umfassen, die mit der anfälligen Anwendung verbunden sind.
2. Unterbrochene Authentifizierung und Sitzungsverwaltung Diese Arten von Schwachstellen können es einem Angreifer ermöglichen, die von einer Webanwendung verwendeten Authentifizierungsmethoden entweder zu erfassen oder zu umgehen. Kennwörter, Sitzungs-IDs und andere Anmeldeinformationen werden über unverschlüsselte Verbindungen gesendet.
3. Cross-Site-Scripting (XSS)
   Diese Angriffe sind eine Art Injektion, bei der bösartige Skripts in ansonsten harmlose und vertrauenswürdige Websites eingeschleust werden. XSS-Angriffe treten auf, wenn ein Angreifer eine Webanwendung verwendet, um bösartigen Code, im Allgemeinen in Form eines browserseitigen Skripts, an einen anderen Endbenutzer zu senden. Schwachstellen, die den Erfolg dieser Angriffe ermöglichen, sind weit verbreitet und treten überall dort auf, wo eine Webanwendung Eingaben von Benutzern innerhalb der von ihr generierten Ausgabe verwendet, ohne sie zu validieren oder zu codieren.
4. Unterbrochene Zugriffskontrolle
   Eine Schwachstelle in der unterbrochenen Zugriffskontrolle ist eine Art von Sicherheitslücke, die einem nicht autorisierten Benutzer den Zugriff auf eingeschränkte Ressourcen ermöglicht. Durch Ausnutzen dieser Schwachstelle können Angreifer Standardsicherheitsverfahren umgehen und unbefugten Zugriff auf vertrauliche Informationen oder Systeme erlangen.
5. Fehlkonfiguration der Sicherheit
   Eine Fehlkonfiguration der Sicherheit liegt vor, wenn Sicherheitsoptionen nicht so definiert sind, dass die Sicherheit maximiert wird, oder wenn Dienste mit unsicheren Standardeinstellungen bereitgestellt werden. Dies kann in jedem Computersystem oder jeder Softwareanwendung sowie in Cloud- und Netzwerkinfrastrukturen passieren.
6. Unsicherer kryptografischer Speicher
   Unsicherer kryptografischer Speicher ist keine einzelne Schwachstelle, sondern eine Sammlung von Schwachstellen, die alle damit zu tun haben, sicherzustellen, dass Ihre wichtigsten Daten verschlüsselt werden, wenn dies erforderlich ist. Dies beinhaltet, ist aber nicht beschränkt auf, sicherzustellen, dass Sie die richtigen Daten verschlüsseln, sicherstellen, dass Sie über eine ordnungsgemäße Schlüsselspeicherung und -verwaltung verfügen, sicherstellen, dass Sie keine bekanntermaßen schlechten Algorithmen verwenden und sicherstellen, dass Sie keine eigene Kryptografie implementieren. die sicher sein können oder nicht.
7. Unzureichende Protokollierung und Überwachung
   Unzureichende Protokollierung und Überwachung ist keine direkte Schwachstelle oder Bedrohung, sondern die Organisation ist blind gegenüber aktuellen aktiven Angriffen, früheren Angriffen und den Informationen, die im forensischen Prozess benötigt werden, um die Auswirkungen des Angriffs zu bestimmen. Ohne diese Einsicht ist die Organisation anfällig für zukünftige Angriffe mit denselben Methoden oder Hintertüren, die bei früheren Angriffen eingebaut wurden und möglicherweise noch schwieriger zu erkennen sind.
8. Unsichere Kommunikation
   Dieser Fehler legt die Daten eines einzelnen Benutzers offen und kann zu Kontodiebstahl führen. Wenn der Angreifer ein Administratorkonto abfängt, könnte die gesamte Website offengelegt werden. Eine schlechte SSL-Einrichtung kann auch Phishing- und MITM-Angriffe erleichtern.
9. Defekte Geschäftslogik
   Defekte Geschäftslogik bezieht sich auf jede Schwachstelle, die es einem Angreifer ermöglicht, die Logik einer Anwendung zu manipulieren, um unbefugten Zugriff zu erlangen oder böswillige Aktionen auszuführen.
10. Unsachgemäße Fehlerbehandlung
    Fehler bei der unsachgemäßen Fehlerbehandlung treten auf, wenn eine Fehlermeldung, die einem Endbenutzer angezeigt wird, Hinweise darauf gibt, wie eine Anwendung oder Website funktioniert.

1. Verwenden Sie parametrisierte Abfragen und vorbereitete Anweisungen, um Injection-Angriffe zu verhindern.
2. Implementieren Sie starke Authentifizierungs- und Sitzungsverwaltungsmechanismen.
3. Verwenden Sie Eingabevalidierung und Ausgabecodierung, um XSS-Skriptangriffe zu verhindern.
4. Implementieren Sie Zugriffskontrollen, um unbefugten Zugriff auf Ressourcen zu verhindern.
5. Befolgen Sie Best Practices zum Sichern der Konfiguration Ihrer Anwendung, z. B. Deaktivieren unnötiger Dienste und Verwenden sicherer Passwörter.
6. Verwenden Sie sichere Speichermechanismen, um sensible Daten zu speichern.
7. Implementieren Sie Protokollierung und Überwachung, um mögliche Angriffe zu erkennen.
8. Verwenden Sie sichere Kommunikationsprotokolle wie HTTPS, um Daten während der Übertragung zu schützen.
9. Stellen Sie sicher, dass die Geschäftslogik Ihrer Anwendung absolut sicher ist
10. Implementieren Sie eine angemessene Fehlerbehandlung, um zu verhindern, dass Angreifer wertvolle Informationen über Ihr internes System erhalten.

Trotz der enormen Anzahl von Cyberangriffen in den vergangenen Jahren braucht die IT-Welt mehr Bewusstsein für die Bedeutung sicherer Entwicklung, Sicherheitsverfahren und regelmäßiger Sicherheitstests.

In den zukünftigen Beiträgen dieser Serie werde ich ausführlich über jede dieser Schwachstellen schreiben und offensive und defensive praktische Beispiele liefern.

Über den Autor

Ich bin Softwareentwickler und Penetrationstester mit mehr als 10 Jahren Erfahrung in der Branche.

Im Laufe meiner Karriere habe ich hochriskante Sicherheitsprobleme auf Plattformen und Software wie eBay, Netflix, Kaspersky, Intel, Cisco, AT&T, MongoDB Atlas, Oracle und vielen mehr gefunden.

Für geschäftliche Anfragen können Sie mich auf Linkedin kontaktieren