Android

Defectele procesului de afaceri au văzut riscuri de securitate

Prof. Dr. Ion Duvac: ”Psihologie aplicată în Securitatea Națională și Afaceri”

Prof. Dr. Ion Duvac: ”Psihologie aplicată în Securitatea Națională și Afaceri”
Anonim

Rularea unui site Web securizat înseamnă mai mult decât păstrarea împotriva atacurilor de tip scripting inter-site și SQL. Deficiențele din procesele de afaceri care stau la baza site-urilor Web pot prezenta, de asemenea, riscuri grave de securitate, a declarat joi CTO-ul unei companii de securitate Web

Defectele proceselor sau logica de afaceri pentru site-urile Web se pot dovedi extrem de profitabile pentru hackeri. de a exploata și uneori nu sunt ilegale din punct de vedere tehnic pentru a profita, a declarat Jeremiah Grossman, directorul CTO al WhiteHat Security, la "Sursa de securitate Boston Security." "Aceste probleme sunt comune dacă știți ce să căutați", a spus el.

[Mai multe informații despre cum să eliminați programele malware de pe PC-ul Windows]

El a oferit mai multe exemple ale acestor erori, inclusiv cele găsite în desenele site-uri Web, sistemele de autentificare Captcha și privilegiile utilizatorilor. Persoanele care profită de ele sunt adesea pur și simplu interzise să folosească un serviciu, deși uneori sunt pedepsiți.

În 2007, o femeie a fost acuzată că a scutit QVC de 412.000 USD prin exploatarea unui defect în logica sa de afaceri. A plasat comenzi pentru 1.800 de articole cu rețeaua de cumpărături și apoi a anulat comenzile de pe site-ul său Web. Ea a primit credit pentru returnarea mărfii, dar articolele i-au fost trimise oricum și le-a vândut pe eBay, a declarat Departamentul de Justiție. QVC a devenit conștient de această chestiune când utilizatorii eBay au contactat-o ​​cu privire la primirea de articole aflate încă în ambalajul său. Femeia în cele din urmă s-a declarat vinovată de fraudă.

Caracteristicile de resetare a parolei pot duce la acces neautorizat la cont dacă pun întrebări evidente, iar hackerii au niște informații minore despre victimele lor. Grossman a oferit un exemplu care implică fostul furnizor de servicii mobile Sprint. Pentru a-și restabili parolele, a spus el, un hacker trebuie să cunoască numai numărul de telefon mobil al unei persoane și o informație de bază, cum ar fi locul în care locuiau sau mașina pe care au condus-o. Acest lucru ar fi permis unui hacker să comande noi telefoane în numele victimei sau să instaleze noi servicii pe telefonul lor.

Cupoanele electronice reprezintă un risc pentru comercianți dacă numărul de cupoane se apropie succesiv unul de celălalt. Un comerciant a văzut câteva dintre articolele la prețuri ridicate care vindeau pentru câțiva dolari, după ce un hacker a scris un script pentru a descoperi numerele cupoanelor care diferă cu numai câteva cifre, a spus Grossman. Retailerul a descoperit problema atunci când sistemul său de log-uri a descoperit o abundență de comenzi procesate noaptea în timp ce scriptul hackerului a fugit.

Hackerii pot convinge pe alți surferi de Web să rezolve testele Captcha pentru ei prin atragerea lor către site-uri web cu promisiunea de a muzică sau conținut pentru adulți. Captchas solicită unei persoane să descifreze un șir de caractere jignite pentru a vă înscrie pentru servicii cum ar fi un cont de e-mail Web. Surferii web rezolva Captchas-urile, care sunt trimise prin serverul proxy hacker-ului, care apoi le utilizeaza pentru a se inscrie pentru mai multe conturi de e-mail pentru a trimite spam sau alte activitati.

"Atata timp cat ai suficienti utilizatori pe site-ul dvs. Web, ați rezolvat problema Captcha ", a spus Grossman. "Băieții răi vor să învingă aceste Captchas, astfel încât să ne poată spama."

Un alt defect este acela de a le permite utilizatorilor să acceseze toate părțile unui site Web, atunci când au un nume de utilizator sau o parolă pentru un anumit serviciu. De exemplu, angajații unei firme estoniene au semnat pentru serviciul de presă al Business Wire în 2004. S-au dat seama că adresele URL de pe site conțineau uneori informații despre comunicatele de presă care nu fuseseră încă făcute publice. Folosind un program care caută adrese URL, angajații firmei au reușit să dezvăluie informații comerciale și financiare sensibile. După achiziționarea și vânzarea acțiunilor bazate pe aceste informații, angajații au făcut 7.8 milioane dolari, dar au fost de asemenea afectați de acuzațiile de fraudare ale autorităților americane de reglementare.

El a remarcat că au existat probabil multe cazuri similare care nu au ieșit niciodată la lumină, deoarece făptașii niciodată prins.

Siguranța web se extinde dincolo de asigurarea calității și proiectarea corectă a aplicațiilor Web pentru a include modul în care serviciile sunt configurate să funcționeze, a spus el