Los codificadores conquistan la seguridad: Share & Learn Series - Protección insuficiente de la capa de transporte
Incluso si se ha asegurado completamente un servidor de aplicaciones y los sistemas backend que utiliza, las comunicaciones podrían seguir siendo vulnerables al espionaje si no se cuenta con suficiente protección de la capa de transporte. En el mundo físico, la razón por la que las divisas se mueven utilizando vehículos blindados es para proporcionar protección mientras están en tránsito. En realidad, no importa lo segura que sea una tienda o un banco si el dinero que genera se carga en un carro de golf para atravesar la ciudad.
Lo mismo puede decirse de las capas de transporte en el ámbito cibernético. Aunque una aplicación sea segura, sigue existiendo una vulnerabilidad crítica si la información que entra en ella se envía sin protección. Y hay una segunda vulnerabilidad con algunas aplicaciones si además envían información a otros servidores o a una base de datos. Esa información puede quedar expuesta a personas internas que no tienen por qué husmear en esas transacciones.
Para proteger completamente a los usuarios y los datos es necesario proteger la capa de transporte. Solo así se puede asegurar por completo una transacción de extremo a extremo.
En este episodio, aprenderemos:
- Cómo los piratas informáticos pueden aprovecharse de una protección insuficiente de la capa de transporte
- Por qué es tan peligroso no proteger la capa de transporte
- Qué se puede hacer para asegurar el transporte de todos los datos que entran y pasan por una aplicación o servidor.
¿Cómo aprovechan los atacantes la insuficiente protección de la capa de transporte?
Una protección insuficiente de la capa de transporte puede permitir ataques en dos puntos del flujo de datos. El punto más comúnmente explotado se encuentra entre el usuario y el servidor de aplicaciones. Si la información se envía en claro, o con un cifrado débil, los piratas informáticos podrán controlar, robar y posiblemente cambiar esa información. Esto podría permitir a los hackers robar la tarjeta de crédito de un usuario, sus credenciales de acceso o cualquier otra cosa enviada al servidor de aplicaciones. Incluso si el propio servidor es seguro, un hacker que supervise el canal inseguro entre éste y los usuarios podría obtener un acceso casi ilimitado a mucha información.
El segundo punto que suele quedar sin protección es la capa de transporte entre una aplicación y el resto de la red. Por ejemplo, un servidor de aplicaciones puede procesar pedidos de compras en línea y luego enviarlos a un sistema de cumplimiento, o los datos pueden ser simplemente descargados a una base de datos para su almacenamiento. Si esos canales internos están desprotegidos, los usuarios internos podrían ver esa información.
Aunque es agradable creer que todos los usuarios internos son buenas personas, el hecho es que las amenazas internas están aumentando en muchas industrias. Se ha sorprendido a usuarios internos aceptando sobornos a cambio de recoger información sensible para atacantes o competidores. Y tener acceso a algo como miles de tarjetas de crédito válidas puede ser simplemente demasiado tentador para que algunas personas lo ignoren.
En cuanto a las técnicas de ataque, no es muy difícil interceptar comunicaciones no protegidas. Incluso los hackers de bajo nivel saben cómo realizar ataques man-in-the-middle contra flujos de datos no cifrados. Si no lo saben, hay vídeos en línea que pueden entrenarlos en menos de media hora.
¿Por qué son tan peligrosas las vulnerabilidades de la protección de la capa de transporte?
Tener una protección insuficiente o inexistente en las capas de transporte es peligroso porque facilita enormemente a los hackers la obtención de información sensible. No tienen que entrar en el servidor de su aplicación o hackear su red. Basta con que preparen un ataque de hombre en el medio y lean todo lo que los usuarios envían a un servidor. Esto puede incluir nombres de usuario y contraseñas que pueden ser utilizados para burlar la seguridad en el futuro utilizando credenciales válidas. Dependiendo de la aplicación, esto también podría incluir información de tarjetas de crédito u otros datos personales de los usuarios.
Y es importante tener en cuenta que todo este fisgoneo tiene lugar fuera de su red. Si estás utilizando canales de transporte inseguros, no hay manera de saber si alguien está capturando esa información. Normalmente la primera señal es cuando muchos usuarios comienzan a reportar cuentas comprometidas o compras con tarjeta de crédito, y el factor común es que su aplicación " no es un buen lugar para estar. Los hackers también pueden modificar la información una vez que la tienen, cambiando la dirección de entrega, por ejemplo, o incluso insertando scripts maliciosos en la respuesta del servidor antes de pasarla a los usuarios.
En el backend, la falta de seguridad de la capa de transporte expone los datos a personas con información privilegiada. Probablemente es mucho menos probable que un interno esté fisgoneando la capa de transporte en comparación con los hackers del exterior que hacen lo mismo. Pero también es más peligroso si ocurre, porque la amenaza interna podrá ver no sólo los datos del usuario, sino también cualquier información propietaria añadida por el servidor de la aplicación antes de enviar esos paquetes.
Eliminación de las vulnerabilidades de la protección de la capa de transporte insuficiente
A pesar de lo peligrosa que puede ser una protección insuficiente de la capa de transporte, tampoco es increíblemente difícil asegurar adecuadamente todos sus canales de transporte. Comienza con la infraestructura del backend. Esta debe ser exclusivamente HTTPS, asegúrese de no mezclar HTTPS y HTTP en un sitio. Por último, mantenga un certificado SSL válido con un tamaño de clave mínimo de 2048 bits y obligue a todos los usuarios a interactuar utilizando navegadores seguros con HTTP Strict Transport Security (HSTS).
Una vez establecida la infraestructura, los desarrolladores deben utilizar un protocolo fuerte para proteger la capa de transporte. Lo ideal sería utilizar TLS 1.2, aunque TLS 1.1 y 1.0 también son aceptables si es absolutamente necesario. Una vez que esto esté en su lugar, los protocolos débiles como SSLv2 deben ser completamente desactivados y nunca apoyados.
También hay que tener cuidado de que los cifrados criptográficos sean lo suficientemente potentes en el backend. Lo ideal es que el tamaño mínimo de la clave de sesión sea de 128 bits. Al igual que con los protocolos, el soporte para algoritmos criptográficos débiles como DES y RC4-40 debería estar desactivado. Y por último, no consideres una aplicación realmente segura hasta que tanto el propio servidor como todas las rutas de datos que entran y salen de él estén suficientemente protegidos.
Más información sobre las vulnerabilidades de la protección de la capa de transporte insuficiente
Para más información, puedes echar un vistazo a la guía OWASP para proteger las capas de transporte. También puedes poner a prueba tus nuevos conocimientos defensivos con la demostración gratuita de la plataforma Secure Code Warrior , que forma a los equipos de ciberseguridad para que se conviertan en los mejores ciberguerreros. Para saber más sobre cómo derrotar esta vulnerabilidad, y una galería de pícaros de otras amenazas, visite el blogSecure Code Warrior .
Incluso si ha asegurado completamente un servidor de aplicaciones y los sistemas de backend que utiliza, las comunicaciones podrían seguir siendo vulnerables al espionaje si no tiene suficiente protección de la capa de transporte.
Jaap Karan Singh es un evangelista de la codificación segura, jefe Singh y cofundador de Secure Code Warrior.
Secure Code Warrior está a disposición de su organización para ayudarle a proteger el código a lo largo de todo el ciclo de vida de desarrollo de software y crear una cultura en la que la ciberseguridad sea una prioridad. Tanto si es director de AppSec, desarrollador, CISO o cualquier persona implicada en la seguridad, podemos ayudar a su organización a reducir los riesgos asociados a un código inseguro.
Reservar una demostración
Jaap Karan Singh es un evangelista de la codificación segura, jefe Singh y cofundador de Secure Code Warrior.
Incluso si se ha asegurado completamente un servidor de aplicaciones y los sistemas backend que utiliza, las comunicaciones podrían seguir siendo vulnerables al espionaje si no se cuenta con suficiente protección de la capa de transporte. En el mundo físico, la razón por la que las divisas se mueven utilizando vehículos blindados es para proporcionar protección mientras están en tránsito. En realidad, no importa lo segura que sea una tienda o un banco si el dinero que genera se carga en un carro de golf para atravesar la ciudad.
Lo mismo puede decirse de las capas de transporte en el ámbito cibernético. Aunque una aplicación sea segura, sigue existiendo una vulnerabilidad crítica si la información que entra en ella se envía sin protección. Y hay una segunda vulnerabilidad con algunas aplicaciones si además envían información a otros servidores o a una base de datos. Esa información puede quedar expuesta a personas internas que no tienen por qué husmear en esas transacciones.
Para proteger completamente a los usuarios y los datos es necesario proteger la capa de transporte. Solo así se puede asegurar por completo una transacción de extremo a extremo.
En este episodio, aprenderemos:
- Cómo los piratas informáticos pueden aprovecharse de una protección insuficiente de la capa de transporte
- Por qué es tan peligroso no proteger la capa de transporte
- Qué se puede hacer para asegurar el transporte de todos los datos que entran y pasan por una aplicación o servidor.
¿Cómo aprovechan los atacantes la insuficiente protección de la capa de transporte?
Una protección insuficiente de la capa de transporte puede permitir ataques en dos puntos del flujo de datos. El punto más comúnmente explotado se encuentra entre el usuario y el servidor de aplicaciones. Si la información se envía en claro, o con un cifrado débil, los piratas informáticos podrán controlar, robar y posiblemente cambiar esa información. Esto podría permitir a los hackers robar la tarjeta de crédito de un usuario, sus credenciales de acceso o cualquier otra cosa enviada al servidor de aplicaciones. Incluso si el propio servidor es seguro, un hacker que supervise el canal inseguro entre éste y los usuarios podría obtener un acceso casi ilimitado a mucha información.
El segundo punto que suele quedar sin protección es la capa de transporte entre una aplicación y el resto de la red. Por ejemplo, un servidor de aplicaciones puede procesar pedidos de compras en línea y luego enviarlos a un sistema de cumplimiento, o los datos pueden ser simplemente descargados a una base de datos para su almacenamiento. Si esos canales internos están desprotegidos, los usuarios internos podrían ver esa información.
Aunque es agradable creer que todos los usuarios internos son buenas personas, el hecho es que las amenazas internas están aumentando en muchas industrias. Se ha sorprendido a usuarios internos aceptando sobornos a cambio de recoger información sensible para atacantes o competidores. Y tener acceso a algo como miles de tarjetas de crédito válidas puede ser simplemente demasiado tentador para que algunas personas lo ignoren.
En cuanto a las técnicas de ataque, no es muy difícil interceptar comunicaciones no protegidas. Incluso los hackers de bajo nivel saben cómo realizar ataques man-in-the-middle contra flujos de datos no cifrados. Si no lo saben, hay vídeos en línea que pueden entrenarlos en menos de media hora.
¿Por qué son tan peligrosas las vulnerabilidades de la protección de la capa de transporte?
Tener una protección insuficiente o inexistente en las capas de transporte es peligroso porque facilita enormemente a los hackers la obtención de información sensible. No tienen que entrar en el servidor de su aplicación o hackear su red. Basta con que preparen un ataque de hombre en el medio y lean todo lo que los usuarios envían a un servidor. Esto puede incluir nombres de usuario y contraseñas que pueden ser utilizados para burlar la seguridad en el futuro utilizando credenciales válidas. Dependiendo de la aplicación, esto también podría incluir información de tarjetas de crédito u otros datos personales de los usuarios.
Y es importante tener en cuenta que todo este fisgoneo tiene lugar fuera de su red. Si estás utilizando canales de transporte inseguros, no hay manera de saber si alguien está capturando esa información. Normalmente la primera señal es cuando muchos usuarios comienzan a reportar cuentas comprometidas o compras con tarjeta de crédito, y el factor común es que su aplicación " no es un buen lugar para estar. Los hackers también pueden modificar la información una vez que la tienen, cambiando la dirección de entrega, por ejemplo, o incluso insertando scripts maliciosos en la respuesta del servidor antes de pasarla a los usuarios.
En el backend, la falta de seguridad de la capa de transporte expone los datos a personas con información privilegiada. Probablemente es mucho menos probable que un interno esté fisgoneando la capa de transporte en comparación con los hackers del exterior que hacen lo mismo. Pero también es más peligroso si ocurre, porque la amenaza interna podrá ver no sólo los datos del usuario, sino también cualquier información propietaria añadida por el servidor de la aplicación antes de enviar esos paquetes.
Eliminación de las vulnerabilidades de la protección de la capa de transporte insuficiente
A pesar de lo peligrosa que puede ser una protección insuficiente de la capa de transporte, tampoco es increíblemente difícil asegurar adecuadamente todos sus canales de transporte. Comienza con la infraestructura del backend. Esta debe ser exclusivamente HTTPS, asegúrese de no mezclar HTTPS y HTTP en un sitio. Por último, mantenga un certificado SSL válido con un tamaño de clave mínimo de 2048 bits y obligue a todos los usuarios a interactuar utilizando navegadores seguros con HTTP Strict Transport Security (HSTS).
Una vez establecida la infraestructura, los desarrolladores deben utilizar un protocolo fuerte para proteger la capa de transporte. Lo ideal sería utilizar TLS 1.2, aunque TLS 1.1 y 1.0 también son aceptables si es absolutamente necesario. Una vez que esto esté en su lugar, los protocolos débiles como SSLv2 deben ser completamente desactivados y nunca apoyados.
También hay que tener cuidado de que los cifrados criptográficos sean lo suficientemente potentes en el backend. Lo ideal es que el tamaño mínimo de la clave de sesión sea de 128 bits. Al igual que con los protocolos, el soporte para algoritmos criptográficos débiles como DES y RC4-40 debería estar desactivado. Y por último, no consideres una aplicación realmente segura hasta que tanto el propio servidor como todas las rutas de datos que entran y salen de él estén suficientemente protegidos.
Más información sobre las vulnerabilidades de la protección de la capa de transporte insuficiente
Para más información, puedes echar un vistazo a la guía OWASP para proteger las capas de transporte. También puedes poner a prueba tus nuevos conocimientos defensivos con la demostración gratuita de la plataforma Secure Code Warrior , que forma a los equipos de ciberseguridad para que se conviertan en los mejores ciberguerreros. Para saber más sobre cómo derrotar esta vulnerabilidad, y una galería de pícaros de otras amenazas, visite el blogSecure Code Warrior .
Incluso si se ha asegurado completamente un servidor de aplicaciones y los sistemas backend que utiliza, las comunicaciones podrían seguir siendo vulnerables al espionaje si no se cuenta con suficiente protección de la capa de transporte. En el mundo físico, la razón por la que las divisas se mueven utilizando vehículos blindados es para proporcionar protección mientras están en tránsito. En realidad, no importa lo segura que sea una tienda o un banco si el dinero que genera se carga en un carro de golf para atravesar la ciudad.
Lo mismo puede decirse de las capas de transporte en el ámbito cibernético. Aunque una aplicación sea segura, sigue existiendo una vulnerabilidad crítica si la información que entra en ella se envía sin protección. Y hay una segunda vulnerabilidad con algunas aplicaciones si además envían información a otros servidores o a una base de datos. Esa información puede quedar expuesta a personas internas que no tienen por qué husmear en esas transacciones.
Para proteger completamente a los usuarios y los datos es necesario proteger la capa de transporte. Solo así se puede asegurar por completo una transacción de extremo a extremo.
En este episodio, aprenderemos:
- Cómo los piratas informáticos pueden aprovecharse de una protección insuficiente de la capa de transporte
- Por qué es tan peligroso no proteger la capa de transporte
- Qué se puede hacer para asegurar el transporte de todos los datos que entran y pasan por una aplicación o servidor.
¿Cómo aprovechan los atacantes la insuficiente protección de la capa de transporte?
Una protección insuficiente de la capa de transporte puede permitir ataques en dos puntos del flujo de datos. El punto más comúnmente explotado se encuentra entre el usuario y el servidor de aplicaciones. Si la información se envía en claro, o con un cifrado débil, los piratas informáticos podrán controlar, robar y posiblemente cambiar esa información. Esto podría permitir a los hackers robar la tarjeta de crédito de un usuario, sus credenciales de acceso o cualquier otra cosa enviada al servidor de aplicaciones. Incluso si el propio servidor es seguro, un hacker que supervise el canal inseguro entre éste y los usuarios podría obtener un acceso casi ilimitado a mucha información.
El segundo punto que suele quedar sin protección es la capa de transporte entre una aplicación y el resto de la red. Por ejemplo, un servidor de aplicaciones puede procesar pedidos de compras en línea y luego enviarlos a un sistema de cumplimiento, o los datos pueden ser simplemente descargados a una base de datos para su almacenamiento. Si esos canales internos están desprotegidos, los usuarios internos podrían ver esa información.
Aunque es agradable creer que todos los usuarios internos son buenas personas, el hecho es que las amenazas internas están aumentando en muchas industrias. Se ha sorprendido a usuarios internos aceptando sobornos a cambio de recoger información sensible para atacantes o competidores. Y tener acceso a algo como miles de tarjetas de crédito válidas puede ser simplemente demasiado tentador para que algunas personas lo ignoren.
En cuanto a las técnicas de ataque, no es muy difícil interceptar comunicaciones no protegidas. Incluso los hackers de bajo nivel saben cómo realizar ataques man-in-the-middle contra flujos de datos no cifrados. Si no lo saben, hay vídeos en línea que pueden entrenarlos en menos de media hora.
¿Por qué son tan peligrosas las vulnerabilidades de la protección de la capa de transporte?
Tener una protección insuficiente o inexistente en las capas de transporte es peligroso porque facilita enormemente a los hackers la obtención de información sensible. No tienen que entrar en el servidor de su aplicación o hackear su red. Basta con que preparen un ataque de hombre en el medio y lean todo lo que los usuarios envían a un servidor. Esto puede incluir nombres de usuario y contraseñas que pueden ser utilizados para burlar la seguridad en el futuro utilizando credenciales válidas. Dependiendo de la aplicación, esto también podría incluir información de tarjetas de crédito u otros datos personales de los usuarios.
Y es importante tener en cuenta que todo este fisgoneo tiene lugar fuera de su red. Si estás utilizando canales de transporte inseguros, no hay manera de saber si alguien está capturando esa información. Normalmente la primera señal es cuando muchos usuarios comienzan a reportar cuentas comprometidas o compras con tarjeta de crédito, y el factor común es que su aplicación " no es un buen lugar para estar. Los hackers también pueden modificar la información una vez que la tienen, cambiando la dirección de entrega, por ejemplo, o incluso insertando scripts maliciosos en la respuesta del servidor antes de pasarla a los usuarios.
En el backend, la falta de seguridad de la capa de transporte expone los datos a personas con información privilegiada. Probablemente es mucho menos probable que un interno esté fisgoneando la capa de transporte en comparación con los hackers del exterior que hacen lo mismo. Pero también es más peligroso si ocurre, porque la amenaza interna podrá ver no sólo los datos del usuario, sino también cualquier información propietaria añadida por el servidor de la aplicación antes de enviar esos paquetes.
Eliminación de las vulnerabilidades de la protección de la capa de transporte insuficiente
A pesar de lo peligrosa que puede ser una protección insuficiente de la capa de transporte, tampoco es increíblemente difícil asegurar adecuadamente todos sus canales de transporte. Comienza con la infraestructura del backend. Esta debe ser exclusivamente HTTPS, asegúrese de no mezclar HTTPS y HTTP en un sitio. Por último, mantenga un certificado SSL válido con un tamaño de clave mínimo de 2048 bits y obligue a todos los usuarios a interactuar utilizando navegadores seguros con HTTP Strict Transport Security (HSTS).
Una vez establecida la infraestructura, los desarrolladores deben utilizar un protocolo fuerte para proteger la capa de transporte. Lo ideal sería utilizar TLS 1.2, aunque TLS 1.1 y 1.0 también son aceptables si es absolutamente necesario. Una vez que esto esté en su lugar, los protocolos débiles como SSLv2 deben ser completamente desactivados y nunca apoyados.
También hay que tener cuidado de que los cifrados criptográficos sean lo suficientemente potentes en el backend. Lo ideal es que el tamaño mínimo de la clave de sesión sea de 128 bits. Al igual que con los protocolos, el soporte para algoritmos criptográficos débiles como DES y RC4-40 debería estar desactivado. Y por último, no consideres una aplicación realmente segura hasta que tanto el propio servidor como todas las rutas de datos que entran y salen de él estén suficientemente protegidos.
Más información sobre las vulnerabilidades de la protección de la capa de transporte insuficiente
Para más información, puedes echar un vistazo a la guía OWASP para proteger las capas de transporte. También puedes poner a prueba tus nuevos conocimientos defensivos con la demostración gratuita de la plataforma Secure Code Warrior , que forma a los equipos de ciberseguridad para que se conviertan en los mejores ciberguerreros. Para saber más sobre cómo derrotar esta vulnerabilidad, y una galería de pícaros de otras amenazas, visite el blogSecure Code Warrior .
Haga clic en el siguiente enlace y descargue el PDF de este recurso.
Secure Code Warrior está a disposición de su organización para ayudarle a proteger el código a lo largo de todo el ciclo de vida de desarrollo de software y crear una cultura en la que la ciberseguridad sea una prioridad. Tanto si es director de AppSec, desarrollador, CISO o cualquier persona implicada en la seguridad, podemos ayudar a su organización a reducir los riesgos asociados a un código inseguro.
Ver el informeReservar una demostración
Jaap Karan Singh es un evangelista de la codificación segura, jefe Singh y cofundador de Secure Code Warrior.
Incluso si se ha asegurado completamente un servidor de aplicaciones y los sistemas backend que utiliza, las comunicaciones podrían seguir siendo vulnerables al espionaje si no se cuenta con suficiente protección de la capa de transporte. En el mundo físico, la razón por la que las divisas se mueven utilizando vehículos blindados es para proporcionar protección mientras están en tránsito. En realidad, no importa lo segura que sea una tienda o un banco si el dinero que genera se carga en un carro de golf para atravesar la ciudad.
Lo mismo puede decirse de las capas de transporte en el ámbito cibernético. Aunque una aplicación sea segura, sigue existiendo una vulnerabilidad crítica si la información que entra en ella se envía sin protección. Y hay una segunda vulnerabilidad con algunas aplicaciones si además envían información a otros servidores o a una base de datos. Esa información puede quedar expuesta a personas internas que no tienen por qué husmear en esas transacciones.
Para proteger completamente a los usuarios y los datos es necesario proteger la capa de transporte. Solo así se puede asegurar por completo una transacción de extremo a extremo.
En este episodio, aprenderemos:
- Cómo los piratas informáticos pueden aprovecharse de una protección insuficiente de la capa de transporte
- Por qué es tan peligroso no proteger la capa de transporte
- Qué se puede hacer para asegurar el transporte de todos los datos que entran y pasan por una aplicación o servidor.
¿Cómo aprovechan los atacantes la insuficiente protección de la capa de transporte?
Una protección insuficiente de la capa de transporte puede permitir ataques en dos puntos del flujo de datos. El punto más comúnmente explotado se encuentra entre el usuario y el servidor de aplicaciones. Si la información se envía en claro, o con un cifrado débil, los piratas informáticos podrán controlar, robar y posiblemente cambiar esa información. Esto podría permitir a los hackers robar la tarjeta de crédito de un usuario, sus credenciales de acceso o cualquier otra cosa enviada al servidor de aplicaciones. Incluso si el propio servidor es seguro, un hacker que supervise el canal inseguro entre éste y los usuarios podría obtener un acceso casi ilimitado a mucha información.
El segundo punto que suele quedar sin protección es la capa de transporte entre una aplicación y el resto de la red. Por ejemplo, un servidor de aplicaciones puede procesar pedidos de compras en línea y luego enviarlos a un sistema de cumplimiento, o los datos pueden ser simplemente descargados a una base de datos para su almacenamiento. Si esos canales internos están desprotegidos, los usuarios internos podrían ver esa información.
Aunque es agradable creer que todos los usuarios internos son buenas personas, el hecho es que las amenazas internas están aumentando en muchas industrias. Se ha sorprendido a usuarios internos aceptando sobornos a cambio de recoger información sensible para atacantes o competidores. Y tener acceso a algo como miles de tarjetas de crédito válidas puede ser simplemente demasiado tentador para que algunas personas lo ignoren.
En cuanto a las técnicas de ataque, no es muy difícil interceptar comunicaciones no protegidas. Incluso los hackers de bajo nivel saben cómo realizar ataques man-in-the-middle contra flujos de datos no cifrados. Si no lo saben, hay vídeos en línea que pueden entrenarlos en menos de media hora.
¿Por qué son tan peligrosas las vulnerabilidades de la protección de la capa de transporte?
Tener una protección insuficiente o inexistente en las capas de transporte es peligroso porque facilita enormemente a los hackers la obtención de información sensible. No tienen que entrar en el servidor de su aplicación o hackear su red. Basta con que preparen un ataque de hombre en el medio y lean todo lo que los usuarios envían a un servidor. Esto puede incluir nombres de usuario y contraseñas que pueden ser utilizados para burlar la seguridad en el futuro utilizando credenciales válidas. Dependiendo de la aplicación, esto también podría incluir información de tarjetas de crédito u otros datos personales de los usuarios.
Y es importante tener en cuenta que todo este fisgoneo tiene lugar fuera de su red. Si estás utilizando canales de transporte inseguros, no hay manera de saber si alguien está capturando esa información. Normalmente la primera señal es cuando muchos usuarios comienzan a reportar cuentas comprometidas o compras con tarjeta de crédito, y el factor común es que su aplicación " no es un buen lugar para estar. Los hackers también pueden modificar la información una vez que la tienen, cambiando la dirección de entrega, por ejemplo, o incluso insertando scripts maliciosos en la respuesta del servidor antes de pasarla a los usuarios.
En el backend, la falta de seguridad de la capa de transporte expone los datos a personas con información privilegiada. Probablemente es mucho menos probable que un interno esté fisgoneando la capa de transporte en comparación con los hackers del exterior que hacen lo mismo. Pero también es más peligroso si ocurre, porque la amenaza interna podrá ver no sólo los datos del usuario, sino también cualquier información propietaria añadida por el servidor de la aplicación antes de enviar esos paquetes.
Eliminación de las vulnerabilidades de la protección de la capa de transporte insuficiente
A pesar de lo peligrosa que puede ser una protección insuficiente de la capa de transporte, tampoco es increíblemente difícil asegurar adecuadamente todos sus canales de transporte. Comienza con la infraestructura del backend. Esta debe ser exclusivamente HTTPS, asegúrese de no mezclar HTTPS y HTTP en un sitio. Por último, mantenga un certificado SSL válido con un tamaño de clave mínimo de 2048 bits y obligue a todos los usuarios a interactuar utilizando navegadores seguros con HTTP Strict Transport Security (HSTS).
Una vez establecida la infraestructura, los desarrolladores deben utilizar un protocolo fuerte para proteger la capa de transporte. Lo ideal sería utilizar TLS 1.2, aunque TLS 1.1 y 1.0 también son aceptables si es absolutamente necesario. Una vez que esto esté en su lugar, los protocolos débiles como SSLv2 deben ser completamente desactivados y nunca apoyados.
También hay que tener cuidado de que los cifrados criptográficos sean lo suficientemente potentes en el backend. Lo ideal es que el tamaño mínimo de la clave de sesión sea de 128 bits. Al igual que con los protocolos, el soporte para algoritmos criptográficos débiles como DES y RC4-40 debería estar desactivado. Y por último, no consideres una aplicación realmente segura hasta que tanto el propio servidor como todas las rutas de datos que entran y salen de él estén suficientemente protegidos.
Más información sobre las vulnerabilidades de la protección de la capa de transporte insuficiente
Para más información, puedes echar un vistazo a la guía OWASP para proteger las capas de transporte. También puedes poner a prueba tus nuevos conocimientos defensivos con la demostración gratuita de la plataforma Secure Code Warrior , que forma a los equipos de ciberseguridad para que se conviertan en los mejores ciberguerreros. Para saber más sobre cómo derrotar esta vulnerabilidad, y una galería de pícaros de otras amenazas, visite el blogSecure Code Warrior .
Índice
Jaap Karan Singh es un evangelista de la codificación segura, jefe Singh y cofundador de Secure Code Warrior.
Secure Code Warrior está a disposición de su organización para ayudarle a proteger el código a lo largo de todo el ciclo de vida de desarrollo de software y crear una cultura en la que la ciberseguridad sea una prioridad. Tanto si es director de AppSec, desarrollador, CISO o cualquier persona implicada en la seguridad, podemos ayudar a su organización a reducir los riesgos asociados a un código inseguro.
Reservar una demostraciónDescargarRecursos para empezar
Panorama de la gestión de riesgos de los promotores
La gestión de riesgos del desarrollador es un enfoque holístico y proactivo de la seguridad de las aplicaciones, centrado en quienes contribuyen al código y no en los bits y bytes de la propia capa de la aplicación.
Seguridad desde el diseño: Definición de las mejores prácticas, capacitación de los desarrolladores y evaluación comparativa de los resultados de la seguridad preventiva
En este documento de investigación, los cofundadores Secure Code Warrior , Pieter Danhieux y el Dr. Matias Madou, Ph.D., junto con los expertos colaboradores, Chris Inglis, ex Director Nacional Cibernético de EE.UU. (ahora Asesor Estratégico de Paladin Capital Group), y Devin Lynch, Director Senior, Paladin Global Institute, revelarán los hallazgos clave de más de veinte entrevistas en profundidad con líderes de seguridad empresarial, incluyendo CISOs, un VP de Seguridad de Aplicaciones y profesionales de seguridad de software.
Evaluación comparativa de las competencias en materia de seguridad: optimización del diseño seguro en la empresa
Encontrar datos significativos sobre el éxito de las iniciativas Secure-by-Design es notoriamente difícil. Los responsables de la seguridad de la información se enfrentan a menudo al reto de demostrar el rendimiento de la inversión (ROI) y el valor empresarial de las actividades de los programas de seguridad, tanto a nivel de las personas como de la empresa. Por no mencionar que a las empresas les resulta especialmente difícil obtener información sobre cómo se comparan sus organizaciones con los estándares actuales del sector. La Estrategia Nacional de Ciberseguridad del Presidente desafió a las partes interesadas a "adoptar la seguridad y la resiliencia desde el diseño". La clave para que las iniciativas de seguridad por diseño funcionen no es sólo dotar a los desarrolladores de las habilidades necesarias para garantizar un código seguro, sino también garantizar a los reguladores que esas habilidades están en su lugar. En esta presentación, compartimos una miríada de datos cualitativos y cuantitativos, derivados de múltiples fuentes primarias, incluidos puntos de datos internos recogidos de más de 250.000 desarrolladores, opiniones de clientes basadas en datos y estudios públicos. Aprovechando esta agregación de puntos de datos, pretendemos comunicar una visión del estado actual de las iniciativas Secure-by-Design en múltiples verticales. El informe detalla por qué este espacio está actualmente infrautilizado, el impacto significativo que un programa de mejora de las competencias puede tener en la mitigación de los riesgos de ciberseguridad y el potencial para eliminar categorías de vulnerabilidades de un código base.
Servicios profesionales - Acelerar con experiencia
El equipo de servicios de estrategia de programas (PSS) de Secure Code Warriorle ayuda a crear, mejorar y optimizar su programa de codificación segura. Tanto si empieza de cero como si está perfeccionando su enfoque, nuestros expertos le proporcionarán orientación personalizada.
Recursos para empezar
Revelado: Cómo define el sector cibernético la seguridad por diseño
En nuestro último libro blanco, nuestros cofundadores, Pieter Danhieux y el doctor Matias Madou, se sentaron con más de veinte líderes de seguridad empresarial, incluidos CISO, líderes de AppSec y profesionales de la seguridad, para averiguar las piezas clave de este rompecabezas y descubrir la realidad detrás del movimiento Secure by Design. Se trata de una ambición compartida por todos los equipos de seguridad, pero no de un libro de jugadas compartido.
¿Vibe Coding va a convertir tu código en una fiesta de fraternidad?
Vibe Coding es como una fiesta de fraternidad universitaria, y la IA es la pieza central de todos los festejos, el barril. Es muy divertido dar rienda suelta a la creatividad y ver adónde te lleva tu imaginación, pero después de unas cuantas borracheras, beber (o usar IA) con moderación es, sin duda, la solución más segura a largo plazo.
Codificación orientada al desarrollador.
Con seguridad.
Póngase en contacto con nosotros hoy mismo y haga de la seguridad del software una parte intrínseca de su proceso de desarrollo.
