El Projecte | Sobre nosaltres | Contribuir | Donacions | Llicència
HOME Els meus cursos Finalitzats
◄ Anterior
◄

Seguretat en Aplicacions

Següent ►
►

La seguretat en aplicacions és un aspecte crucial de la seguretat informàtica que se centra en protegir les aplicacions de programari de possibles amenaces i vulnerabilitats. Aquest tema cobreix les tècniques i pràctiques que es poden implementar per assegurar que les aplicacions siguin segures des del seu desenvolupament fins a la seva execució.

Objectius d'Aprenentatge

En aquesta secció, aprendràs:

  1. Els conceptes bàsics de la seguretat en aplicacions.
  2. Les vulnerabilitats comunes en aplicacions.
  3. Les millors pràctiques per desenvolupar aplicacions segures.
  4. Les tècniques de prova de seguretat en aplicacions.

Conceptes Bàsics de la Seguretat en Aplicacions

Definició

La seguretat en aplicacions implica la protecció de les aplicacions de programari contra amenaces internes i externes. Això inclou la protecció de dades, la prevenció d'accés no autoritzat i la garantia de la integritat i disponibilitat de l'aplicació.

Importància

  • Protecció de Dades: Les aplicacions sovint gestionen dades sensibles que necessiten ser protegides contra robatori o manipulació.
  • Confiança de l'Usuari: Les aplicacions segures augmenten la confiança dels usuaris i clients.
  • Compliment Normatiu: Moltes indústries tenen regulacions que requereixen que les aplicacions siguin segures.

Vulnerabilitats Comunes en Aplicacions

  1. Injecció de SQL

Descripció: L'atacant pot inserir codi SQL maliciós en una consulta SQL a través d'entrades d'usuari no validades.

Exemple:

SELECT * FROM usuaris WHERE usuari = 'admin' AND contrasenya = ' ' OR '1'='1';

Prevenció:

  • Utilitzar consultes preparades.
  • Validar i sanejar totes les entrades d'usuari.

  1. Cross-Site Scripting (XSS)

Descripció: L'atacant pot injectar scripts maliciosos en pàgines web que seran executats pels navegadors dels usuaris.

Exemple:

<input type="text" name="nom" value="<script>alert('XSS');</script>">

Prevenció:

  • Escapar totes les dades d'usuari abans de mostrar-les.
  • Utilitzar eines de seguretat com Content Security Policy (CSP).

  1. Cross-Site Request Forgery (CSRF)

Descripció: L'atacant pot fer que un usuari autenticat realitzi accions no desitjades en una aplicació web.

Exemple:

<img src="http://victima.com/transferir?quantitat=1000&destinatari=atacant">

Prevenció:

  • Utilitzar tokens CSRF.
  • Verificar l'origen de les peticions.

Millors Pràctiques per Desenvolupar Aplicacions Segures

  1. Validació i Sanejament d'Entrades

  • Validació: Assegura't que totes les dades d'entrada compleixin amb els criteris esperats.
  • Sanejament: Elimina o escapa qualsevol caràcter especial que pugui ser utilitzat per a atacs.

  1. Autenticació i Autorització

  • Autenticació: Utilitza mètodes segurs per verificar la identitat dels usuaris (per exemple, autenticació de dos factors).
  • Autorització: Assegura't que els usuaris només tinguin accés a les funcionalitats i dades permeses.

  1. Xifrat de Dades

  • Dades en Trànsit: Utilitza protocols segurs com HTTPS per xifrar les dades mentre es transmeten.
  • Dades en Repòs: Xifra les dades sensibles emmagatzemades en bases de dades o altres sistemes d'emmagatzematge.

  1. Gestió de Sessions

  • Sessions Segures: Utilitza identificadors de sessió segurs i regenerar-los després de l'autenticació.
  • Caducitat de Sessions: Implementa un temps de caducitat per a les sessions inactives.

Tècniques de Prova de Seguretat en Aplicacions

  1. Proves de Penetració

Les proves de penetració simulen atacs reals per identificar vulnerabilitats en una aplicació.

Exemple de Codi:

# Exemple de script de prova de penetració amb Python
import requests

url = "http://victima.com/login"
data = {"usuari": "admin", "contrasenya": "admin"}

response = requests.post(url, data=data)
if "Benvingut" in response.text:
    print("Vulnerabilitat trobada!")
else:
    print("Aplicació segura.")

  1. Revisió de Codi

La revisió de codi implica l'anàlisi manual o automatitzada del codi font per identificar possibles vulnerabilitats.

  1. Escaneig de Vulnerabilitats

Utilitza eines automatitzades per escanejar l'aplicació i identificar vulnerabilitats conegudes.

Exemple d'Eina:

  • OWASP ZAP: Una eina popular per a l'escaneig de vulnerabilitats en aplicacions web.

Exercicis Pràctics

Exercici 1: Identificació de Vulnerabilitats

Descripció: Revisa el següent codi PHP i identifica les vulnerabilitats de seguretat.

<?php
$usuari = $_POST['usuari'];
$contrasenya = $_POST['contrasenya'];

$conn = new mysqli("localhost", "root", "", "base_dades");
$sql = "SELECT * FROM usuaris WHERE usuari='$usuari' AND contrasenya='$contrasenya'";
$result = $conn->query($sql);

if ($result->num_rows > 0) {
    echo "Benvingut, $usuari!";
} else {
    echo "Usuari o contrasenya incorrectes.";
}
?>

Solució:

  • Injecció de SQL: Utilitzar consultes preparades per evitar la injecció de SQL.
  • Validació d'Entrades: Validar i sanejar les dades d'entrada.

Exercici 2: Implementació de Tokens CSRF

Descripció: Implementa un token CSRF en el següent formulari HTML.

<form action="/transferir" method="post">
    <input type="hidden" name="quantitat" value="1000">
    <input type="hidden" name="destinatari" value="atacant">
    <input type="submit" value="Transferir">
</form>

Solució:

<?php
session_start();
if (empty($_SESSION['token'])) {
    $_SESSION['token'] = bin2hex(random_bytes(32));
}
?>

<form action="/transferir" method="post">
    <input type="hidden" name="quantitat" value="1000">
    <input type="hidden" name="destinatari" value="atacant">
    <input type="hidden" name="token" value="<?php echo $_SESSION['token']; ?>">
    <input type="submit" value="Transferir">
</form>

Resum

En aquesta secció, hem après sobre la importància de la seguretat en aplicacions, les vulnerabilitats comunes i les millors pràctiques per desenvolupar aplicacions segures. També hem explorat tècniques de prova de seguretat i hem realitzat exercicis pràctics per reforçar els conceptes apresos. La seguretat en aplicacions és un procés continu que requereix atenció constant i actualització per protegir-se contra noves amenaces.

◄ Anterior
◄
Següent ►
►
El Projecte | Sobre nosaltres | Contribuir | Donacions | Llicència
© Copyright 2024. Tots els drets reservats