Inleiding tot beveiliging van webtoepassingen
We leven nu in de wereld van het web. Elke dag is er een ontelbaar aantal transacties die op elk gebied op internet worden gepubliceerd, zoals banken, scholen, bedrijven, topinstituten van de wereld, onderzoekscentra. Het is uiterst belangrijk dat de gegevens die worden verwerkt zeer veilig zijn en dat de communicatie betrouwbaar is. Daarom komt het belang van het beveiligen van het web.
Wat is webapplicatiebeveiliging?
Beveiliging van webapplicaties is een tak van informatiebeveiliging die zich bezighoudt met de beveiliging van webapplicaties, webservices en websites. Het is een soort applicatiebeveiliging die specifiek op web- of internetniveau wordt toegepast.
Webbeveiliging is belangrijk omdat webapplicaties worden aangevallen vanwege slechte codering of onjuiste sanering van applicatie-inputs en -outputs. Veelvoorkomende aanvallen op internetbeveiliging zijn Cross-site scripting (XSS) en SQL-injecties.
Afgezien van XSS, SQL-injecties, zijn de andere soorten webbeveiligingsaanvallen willekeurige code-uitvoering, padopenbaarmaking, geheugenbeschadiging, externe bestandsopname, bufferoverloop, lokale bestandsopname, etc. Webbeveiliging is volledig gebaseerd op mensen en processen. Daarom is het uiterst belangrijk dat de ontwikkelaars de juiste coderingsstandaarden en sanity check op dergelijke webbeveiligingsbedreigingen gebruiken voordat websites live gaan.
Beveiligingscontroles moeten in feite in een zeer vroeg ontwikkelingsstadium worden toegepast en blijven in elke fase van de levenscyclus van softwareontwikkeling van toepassing. Ontwikkelaars moeten goed worden opgeleid in cybersecurity en veilige codeermethoden. Eenmalige testen van de applicatie is absoluut niet effectief. Continue regressie voor webbeveiligingsaanvallen moet in elke fase worden geïmplementeerd.
Webbeveiliging standaardiseren
OWASP (Open Web Application Security Project) is de standaardorganisatie voor beveiliging van webapplicaties. Het biedt complete documentatie, tools, technieken en methodieken op het gebied van webapp-beveiliging. OWASP is een van de onbevooroordeelde informatiebronnen over de best practices op het gebied van webapp-beveiliging.
OWASP Top webbeveiligingsrisico's
Hieronder staan de belangrijkste webbeveiligingsrisico's gerapporteerd op OWASP.
SQL injectie:
Dit is een soort injectie-aanval die het mogelijk maakt kwaadaardige en onjuiste SQL-query's uit te voeren die de databases van de webserver kunnen besturen. Aanvallers kunnen SQL-instructies gebruiken om beveiligingsmaatregelen van toepassingen te omzeilen. Ze kunnen webpagina's of websites authenticeren of autoriseren en de inhoud van SQL-databases ophalen zonder SQL-instructies te omzeilen. Deze aanval kan plaatsvinden via sites die SQL, MYSQL, Oracle, etc. als databases gebruiken. Dit is de meest voorkomende en gevaarlijke beveiligingsaanval volgens de documentatie van OWASP 2017.
Cross Site Scripting (XSS):
Hierdoor kunnen aanvallers client-side scripting injecteren in webtoepassingen en webpagina's die door andere gebruikers worden bekeken. Een kwetsbaarheid voor cross-site scripting kan worden gebruikt om beleid zoals hetzelfde oorsprongbeleid te omzeilen. Vanaf 2007 was XSS goed voor 84% van alle beveiligingsaanvallen op internet.
Afhankelijk van de gevoeligheid van gegevens kan XSS een kleine aanval of een grote bedreiging voor de websites zijn.
Exploitanten vouwen schadelijke gegevens in de inhoud die wordt afgeleverd in de clientbrowser. Wanneer gegevens bij de client worden geleverd, lijkt het erop dat de gecombineerde gegevens afkomstig zijn van de vertrouwde server zelf en alle machtigingensets aan de clientzijde hebben. De aanvaller kan nu verhoogde toegang en privileges krijgen tot de gevoelige pagina-inhoud, sessiecookies en een verscheidenheid aan andere informatie.
Gebroken authenticatie en sessiebeheer:
Met deze aanval kunt u de authenticatie op de webpagina of applicatie vastleggen of omzeilen.
Dit is meer een zwakke standaard, gevolgd door website-ontwikkelaar die problemen veroorzaakt zoals bijvoorbeeld,
- Voorspelbare inloggegevens.
- De inloggegevens van gebruikers niet goed beschermen wanneer ze worden opgeslagen.
- Sessie-ID's worden weergegeven in de URL.
- Wachtwoorden, sessie-ID's worden niet verzonden via gecodeerde URL's.
- Sessiewaarden verlopen niet na een bepaalde tijd.
Om deze aanvallen te voorkomen, moet de ontwikkelaar voorzichtig zijn met het handhaven van de juiste normen, zoals het beschermen van wachtwoorden en het correct hashen ervan tijdens het passeren, geen sessie-ID's vrijgeven, de sessie na een bepaalde tijd timen, sessie-ID's opnieuw maken na een succesvolle aanmelding poging.
Verbroken authenticatie verhelpen
- De wachtwoordlengte moet worden gehandhaafd op minimaal 8 tekens.
- Wachtwoord moet complex zijn om de gebruiker het niet te kunnen voorspellen. Dit moet gebruik maken van de juiste regels voor het instellen van wachtwoorden, zoals alfanumeriek, speciale tekens en combinaties van hoofdletters en kleine letters.
- Verificatiefouten mogen nooit aangeven welk deel van de verificatiegegevens onjuist is. Foutreacties moeten tot op zekere hoogte generiek zijn. Bijv .: Ongeldige inloggegevens in plaats van gebruikersnaam of wachtwoord te tonen die exact onjuist is.
Beveiligingsfoutconfiguraties:
Dit is een van de slechte praktijken die de websites kwetsbaar maakt voor aanvallen. Voor bijv. App-serverconfiguraties retourneren de volledige stacktracering naar de gebruikers, waardoor de aanvallers weten waar de fout zit en de sites dienovereenkomstig aanvallen. Om dergelijke gevallen te voorkomen, is het belangrijk dat een krachtige applicatie-architectuur wordt geïmplementeerd en de beveiligingsscans periodiek worden uitgevoerd.
Conclusie
Het is heel belangrijk dat elke website de juiste normen volgt, de juiste coderingstechnieken onderhoudt, een robuuste app-architectuur heeft, de scans periodiek feilloos uitvoert en probeert de aanvallen op de webbeveiliging in grotere mate te vermijden.
Aanbevolen artikelen
Dit is een handleiding geweest voor de beveiliging van webtoepassingen. Hier hebben we de introductie, standaardisatie en de belangrijkste risico's van webbeveiliging besproken. U kunt ook de volgende artikelen bekijken voor meer informatie -
- Vragen tijdens solliciteren bij Cyber Security
- Vragen tijdens solliciteren bij Web Development
- Carrière in webontwikkeling
- Wat is Elasticsearch?
- Wat is cross-site scripting?