Podstawy bezpieczeństwa aplikacji WWW

W obecnych czasach aplikacje Web potrafią być bardzo skomplikowane. Posiadając setki modułów, wiele funkcjonalności oraz obsługując miliony użytkowników ważne jest zapewnienie ich bezpieczeństwa. Obejmuje ono aspekty takie jak kontrola dostępu użytkowników do systemu, przetwarzanie złożonych danych czy obsługa danych z niezaufanego źródła. Błędy konfiguracji takich aplikacji mogą mieć poważne konsekwencje w kontekście bezpieczeństwa całego biznesu.

Pierwszym tematem poruszonym w ramach kursu będzie stworzenie środowiska do testów bezpieczeństwa aplikacji WWW oraz wykonanie podstawowych zadań, takich jak podgląd i modyfikacja przesyłanych żądań HTTP. Dodatkowo, w ramach zadań zapoznasz się z częścią funkcji powszechnie wykorzystywanych programów.

Uwierzytelnienie to proces weryfikacji, czy osoba, podmiot lub witryna jest tym, za kogo się podaje. Uwierzytelnienie w kontekście internetowych jest zwykle wykonywane przez przesłanie nazwy użytkownika lub identyfikatora i jednego lub więcej elementów prywatnych informacji, które powinien posiadać tylko dany użytkownik (np. hasło).

Zarządzanie sesją to proces, w którym serwer utrzymuje stan uwierzytelnionej osoby lub podmiotu. Jest to wymagane, aby serwer pamiętał, jak reagować na kolejne żądania w trakcie korzystania z aplikacji. Sesje są przechowywane na serwerze w formie identyfikatora sesji, który może być przekazywany w obydwie strony między klientem a serwerem podczas przesyłania i odbierania żądań. Identyfikator sesji powinien być unikatowy dla każdego użytkownika i trudny do odgadnięcia.

Kontrola dostępu, nazywana również autoryzacją (nie mylić z uwierzytelnieniem) to proces, który na podstawie potwierdzonej tożsamości użytkownika decyduje, czy może on uzyskać dostęp do zasobu. Zasobem mogą być zarówno dane (np. dane osobowe, dokumenty, itp.), jak i funkcje, czyli wykonanie pewnej operacji (np. wygenerowanie i pobranie raportu, zmiana hasła użytkownika). Autoryzacja to podstawowa usługa bezpieczeństwa, która występuje w większości aplikacji. Decyzje dotyczące kontroli dostępu są na ogół egzekwowane na podstawie reguł określonych dla użytkownika (tzw. polityk). W zadaniach z tego tematu zapoznasz się z prostymi metodami obejścia kontroli dostępu i uzyskania nieautoryzowanego dostępu do danych.

Wstrzyknięcie SQL (ang. SQL Injection) to atak, który polega na umieszczeniu (wstrzyknięciu) złośliwej części zapytania SQL do bazy danych w popranym zapytaniu, które generowane jest przez aplikację. Udany atak może pozwolić na odczyt dowolnych danych z bazy danych (np. haseł, danych osobowych), jak również do modyfikacji tych danych. Istnieją również ataki, które przez wstrzyknięcia SQL pozwalają przejąć pełną kontrolę nad serwerem bazy danych. W ramach kursu zapoznasz się ze słabościami aplikacji typu SQLi.