Matija Zeman - Sigurnost Web Aplikacija Zasnovanih Na Ajax Tehnologiji-video-slike

DIPLOMSKI RAD br. 1656

Sigurnost Web aplikacija zasnovanih na AJAX tehnologiji Matija Zeman

Zagreb, srpanj 2007.

1 od 11

Uvod ♦ ♦ ♦ ♦

AJAX Sigurnost Web aplikacija – OWASP Top 10 Sigurnost AJAX aplikacija WebIKE aplikacija  Konfiguracijske

datoteke

 Način

rada  Model prijetnji, zaštita, testiranje

Zagreb, srpanj 2007.

2 od 11

AJAX ♦

AJAX  Asinkroni

XML

♦

JavaScript i

Elementi AJAX-a  JavaScript  XMLHttpRequestObject  XML,

♦

JSON

Načini dohvata  Dohvat

HTML-a i umetanje  Dohvat XML-a i manipulacija  Dohvat JSON-a i evaluacija Zagreb, srpanj 2007.

3 od 11

Sigurnost Web aplikacija - OWASP Top 10 

    



  

Izvršavanje napadačkog kôda – XSS Propusti ubacivanja Izvođenje zlonamjernih datoteka Nesigurna izravna referenca na objekt Krivotvorenje zahtjeva – CSRF Ispuštanje informacija i neispravno rukovanje pogreškama Razbijena autentifikacija i kontrola sjednice Nesigurna kriptografska pohrana Nesigurne komunikacije Neuspješna zaštita pristupa URL-u Zagreb, srpanj 2007.

4 od 11

Sigurnost AJAX aplikacija ♦

AJAX nema novih sigurnosnih problema  Višestruke

razbacane krajnje točke i skriveni

pozivi  Zbunjujuća provjera  Nepovjerljivi izvori informacija i serijalizacija podataka  Izgradnja i izvođenje dinamičkih skripti ♦ ♦

Politika istog izvora (Same origin policy) Napadi  Otimanje

JavaScript koda  Napadi na lokalnu mrežu  JIKTO, XSS posrednik  Samy crv Zagreb, srpanj 2007.

5 od 11

Praktični rad - WebIKE ♦ ♦ ♦ ♦ ♦ ♦

Konverzije konfiguracija za različite IKE alate Testiranja različitih konfiguracija Pokretanje IKE alata (racoon) Proširenja za IKEv2 alat Kod na poslužitelju – Zend framework MVC Kod na klijentu – Yahoo! UI toolkit - AJAX

Zagreb, srpanj 2007.

6 od 11

Konfiguracijske datoteke ♦

IKE alati  Konfiguracijske

♦

Generička XML konfiguracija i shema  Zajedničke

♦ ♦

datoteke

opcije

Predlošci datoteka Konverzija

Zagreb, srpanj 2007.

7 od 11

Način rada aplikacije – AJAX + MVC

Zagreb, srpanj 2007.

8 od 11

Prezentacija aplikacije

VIDEO ZAPIS

Zagreb, srpanj 2007.

9 od 11

Model prijetnji, zaštita, testiranje ♦ ♦ ♦ ♦ ♦

Ključni scenariji aplikacije Korištene tehnologije Sigurnosni mehanizmi aplikacije Specifične prijetnje i način zaštite Automatsko testiranje – Paros alat  Identificirani

♦

pozivi i parametri

Ručno testiranje  Manji

problemi koji su ispravljeni

Zagreb, srpanj 2007.

10 od 11

Zaključak ♦ ♦

Trendovi zloćudnog koda na Internetu Aplikacija  Upitna

isplativost AJAX-a (Web-a kao platforme) Manje komplikacije pri proširivosti  Proširenje mogućnosti (IKEv2)  Jačanje sigurnosnih mehanizama

Zagreb, srpanj 2007.

11 od 11

Zagreb, srpanj 2007.

23 od 11