Caratteristiche e principali vulnerabilità delle applicazioni web in cybersecurity

Cybersecurity nelle applicazioni web

La sicurezza delle applicazioni web è un aspetto critico della cybersecurity, dato il ruolo significativo che queste svolgono nel moderno panorama digitale. Poichè sempre più aziende si affidano al web per fornire i propri servizi, diventa sempre più importante garantire che queste applicazioni siano protette dalle minacce informatiche.

Esistono una serie di misure volte a prevenire attacchi quali cross-site scripting (XSS), SQL injection e altre forme di attacchi molto comuni. Tra queste troviamo pratiche di codifica, meccanismi di autenticazione e controllo degli accessi adeguati, crittografia dei dati sensibili, test di sicurezza ed un continuo monitoraggio delle vulnerabilità.

Una delle sfide principali in questo campo è rappresentata dal fatto che questo tipo di applicazioni sono spesso complesse e interconnesse. Questo le rende di base vulnerabili ad una serie di attacchi. Inoltre, le applicazioni web, sono in genere costruite utilizzando una serie di linguaggi di programmazione, framework e librerie, che possono creare contenere potenziali falle nella sicurezza se non adeguatamente protette.

Come se non bastasse, il panorama mondiale delle vulnerabilità sul web è in continua evoluzione, poichè gli attaccanti cercano sempre nuovi modi per sfruttare le debolezze di queste applicazioni. Si pùo avere una panoramica di questa tendenza grazie anche al progetto Top 10 OWASP.

L’Open Web Application Security Project è una comunità aperta, dedicata al miglioramento della sicurezza del software, con l’obiettivo di fornire una conoscenza condivisa e strumenti per identificare e mitigare i rischi di sicurezza nelle applicazioni web. La lista Top 10 Owasp è un elenco delle dieci vulnerabilità più comuni che possono compromettere la sicurezza delle applicazioni web. Questa lista, aggiornata periodicamente, è il risultato di una vasta ricerca e di un’ampia consultazione di esperti di sicurezza informatica provenienti da tutto il mondo. L’obiettivo è quello di fornire una guida ai professionisti della sicurezza e agli sviluppatori di software per aiutarli a prevenire e mitigare le vulnerabilità più comuni che possono essere sfruttate dagli attaccanti per compromettere la sicurezza delle applicazioni web.

Overview delle principali vulnerabilità

Controllo sugli accessi violato

Il controllo degli accessi è un aspetto cruciale nelle applicazioni, perchè aiuta a garantire che gli utenti possano solo accedere alle risorse ed eseguire le azioni per le quali sono autorizzati. Se i meccanismi di controllo degli accessi non sono implementati correttamente, possono verificarsi gravi problemi di sicurezza, come la divulgazione, la modifica o la distruzione non autorizzata di dati, nonchè l’accesso non autorizzato a funzioni aziendali sensibili.

Alcune delle vulnerabilità più comuni nel controllo degli accessi includono la violazione del principio del minimo privilegio o del ‘deny by default’, in cui l’accesso viene concesso a chiunque invece di essere limitato a capacità, ruoli o utenti specifici. Gli aggressori potrebbero, in determinati casi, anche aggirare i controlli modificando l’URL o le richieste API. Un altro problema comune è la vulnerabilità Insecure Direct Object References, IDOR, che pùo consentire l’accesso ad oggetti direttamente utilizzando dell’input utente.

Un altro problema è l’accesso alle API con controlli mancanti per i metodi POST, PUT e DELETE, che possono causare la manomissione o la distruzione dei dati. Anche l’elevazione dei privilegi è un rischio, in quanto un utente malintenzionato pùo agire come un utente autorizzato senza aver effettuato l’accesso, così come potrebbe agire come un amministratore mentre è connesso come un utente normale. Anche la manipolazione dei metadati è un problema, insieme alla riproduzione o alla manomissione dei token di controllo dell’accesso o l’utilizzo di cookie o campi nascosti per elevare i privilegi.

La configurazione errata di CORS, Cross-Origin Resource Sharing, è un’altra vulnerabilità che consente l’accesso non autorizzato da origini non attendibili. Infine, la navigazione forzata, pùo consentire agli aggressori di accedere come utenti non autenticati a pagine che la richiedono, o a pagine privilegiate come utenti standard.

E’ fondamentale garantire che i meccanismi di controllo degli accessi siano implementati correttamente e rivisti regolarmente per mitigare queste vulnerabilità e ridurre il rischio di accesso non autorizzato e perdita di dati.

Fallimenti Crittografici

Questa categoria riguarda tutte quelle situazioni in cui i dati sensibili possono essere esposti a rischi di vario genere a causa di problemi di crittografia. In questa categoria rientrano numerose tipologie di attacchi informatici, che possono portare all’esposizione di dati sensibili come password, numeri di carta di credito e record medici.

Tra le vulnerabilità più comuni in questo ambito troviamo ad esempio l’utilizzo di password non protette, l’utilizzo di algoritmi crittografici deboli o obsoleti, e la mancanza di sufficiente entropia per generare le chiavi crittografiche. Inoltre, possono esserci problemi di sicurezza legati all’utilizzo di protocolli di trasmissione di dati non sicuri, come HTTP, SMTP o FTP, e alla mancata implementazione di meccanismi di crittografia nei server web o nei backend dei sistemi.

Per prevenire queste vulnerabilità, è fondamentale adottare una serie di misure di protezione specifiche, come l’utilizzo di algoritmi di crittografia sicuri, la corretta gestione delle chiavi, la verifica della validità dei certificati dei server, e la generazione di vettori di inizializzazione sufficientemente sicuri. Inoltre, è importante evitare l’utilizzo di password in chiaro, e garantire che tutte le funzioni crittografiche siano progettate per soddisfare i requisiti di sicurezza specifici. Infine, è importante tenere sempre aggiornati tutti i software e i protocolli utilizzati, e monitorare costantemente l’infrastruttura per individuare eventuali anomalie o tentativi di attacco informatico.

Injection

L’Injection, ovvero iniezione, è una grave vulnerabilità che si verifica quando un aggressore è in grado di iniettare codice o dati dannosi in un’applicazione, facendola comportare in modi non previsti. In molti casi, ciò pùo portare all’accesso non autorizzato, alla modifica o alla distruzione di dati sensibili, o addirittura consentire a un aggressore di prendere il controllo dell’intero sistema.

Esistono diversi tipi di attacchi a iniezione, tra cui SQL, NoSQL, LDAP, Object Relational Mapping (ORM), o Object Graph Navigation Library (OGNL). Tutti questi attacchi funzionano sfruttando il modo in cui un’applicazione gestisce l’input dell’utente. Ciò pùo accadere quando i dati forniti dall’utente non sono adeguatamente convalidati o sanificati, oppure quando vengono utilizzate query dinamiche o chiamate non parametrizzate senza un adeguato escape consapevole del contesto.

Uno dei motivi principali per cui gli attacchi di questo tipo sono così pericolosi, è che possono essere sfruttate in vari modi. Ad esempio, gli aggressori possono utilizzare dati ostili all’interno di parametri di ricerca ORM per estrarre record sensibili o utilizzarli direttamente in query dinamiche.

Il modo migliore per rilevare se un’applicazione è vulnerabile alle iniezioni è eseguire una revisione del codice sorgente cercando in particolare gli input e le validazioni effettuate. Inoltre, è utile un controllo di tutti i parametri, delle intestazioni, degli URL, dei cookie e degli input di dati JSON, SOAP e XML.

Design insicuro

Questa cateogria di vulnerabilità, sottolinea l’importanza di affrontare i rischi legati ai difetti di progettazione nello sviluppo del software, oltre alla necessità di utilizzare la modellazione delle minacce, i modelli di progettazione sicuri e le architetture di riferimento.

E’ importante notare che la progettazione insicura si distingue dall’implementazione insicura. Mentre un progetto sicuro pùo comunque presentare dei problemi di implementazione che conducono a vulnerabilità, un progetto insicuro non pùo essere risolto da un’implementazione perfetta.

La progettazione sicura è una metodologia che valuta in modo continuativo le minacce, in modo da prevenire i attacchi noti. La modellazione delle minacce deve essere integrata nello sviluppo per analizzare le modifiche ai flussi di dati, al controllo degli accessi e a quelli di sicurezza.

Per lo sviluppo sicuro del software è necessario un ciclo di vita di sviluppo sicuro, che comprenda modelli di progettazione sicuri, librerie sicure, strumenti e modellazione delle minacce.

Configurazione della sicurezza scorretta

Questa categoria di rischio è salita in classifica negli ultimi anni, data la tendenza verso un software altamente configurabile.

Una configurazione errata pùo rendere le applicazioni vulnerabili agli attacchi, in particolare se manca l’hardening in qualsiasi parte dello stack applicativo o se le autorizzazioni sui servizi sono configurate in modo improprio. Altri fattori che possono aumentare il rischio di configurazione errata sono l’abilitazione di funzionalità non necessarie o il fatto di lasciare invariati account e password predefiniti. Anche la gestione degli errori che rivela tracce di stack o messaggi troppo esplicativi per gli utenti, così come la disattivazione o la configurazione errata delle funzioni di sicurezza più recenti sui sistemi aggiornati, possono aumentare il rischio.

Le impostazioni di sicurezza di application server, framework, librerie, database e altri componenti devono essere impostate su valori sicuri. Le intestazioni e le direttive di sicurezza devono essere inviate dal server e impostate su valori affidabili. Infine, è importante assicurarsi che il software sia aggiornato e non vulnerabile, poichè anche i componenti obsoleti o vulnerabili possono contribuire a una configurazione errata e aumentare il rischio di attacchi, anche se questo ricade in una categoria aprofondita in seguito.

Per ridurre il rischio di configurazione errata, è essenziale disporre di un processo di configurazione della sicurezza delle applicazioni concreto e ripetibile. Senza questo processo, i sistemi sono più esposti al rischio di attacchi.

Componenti vulnerabili e datati

Si tratta di una categoria che comporta la dipendenza e la valutazione di componenti di terze parti. Questo include tutti i componenti utilizzati direttamente e le dipendenze annidate.

Se il software, comprensivo di sistema operativo, server web, DBMS, API, applicazioni, ambienti di runtime e librerie, non è supportato, non è aggiornato o è vulnerabile, si va incontro a potenziali rischi. Una regolare scansione delle vulnerabilità e la sottoscrizione dei bollettini di sicurezza relativi ai componenti utilizzati sono essenziali per identificare e ridurre le vulnerabilità. Il mancato aggiornamento tempestivo del sistema, dei framework e delle dipendenze sottostanti, potrebbe portare ad un’esposizione non necessaria alle vulnerabilità precedentemente risolte. Anche la configurazione sicura dei componenti è essenziale per evitare errori di sicurezza.

Fallimenti nell’identificazione e nell’autenticazione

Si tratta di una categoria precedentemente nota come Broken Authentication, ora inclusiva delle vulnerabilità relative alle mancanze di identificazione, come la convalida impropria di un certificato con una mancata corrispondenza dell’host e l’autenticazione impropria.

E’ fondamentale confermare l’identità dell’utente, autenticarlo e gestire correttamente le sessioni per proteggersi dagli attacchi legati all’autenticazione. Un debolezza in questo ambito è data dalla possibilità di attacchi di brute forse, come il credential stuffing, in cui l’attaccante recupera un elenco di nomi utente e password, li inserisce in uno script e li sfrutta confidando nel fatto che spesso gli utenti utilizzano le stesse credenziali in più di un’applicazione. Allo stesso modo permettere password predefinite, deboli o note come “Password1” o “admin/admin”, rendono il sistema vulnerabile. Un’altro punto debole in questo ambito è rappresentato dall’uso di processi di recupero delle credenziali deboli o inefficaci. L’applicazione pùo essere vulnerabile anche se utilizza archivi di password in chiaro o crittografati con hash debole, se l’autenticazione a più fattori è assente o inefficace, se espone l’identificativo di sessione nell’URL, se riutilizza o se non invalida correttamente gli ID di sessione.

Fallimenti nell’integrità del software e dei dati

Questa categoria di vulnerabilità si concentra su aggiornamenti del software, sui dati critici e sulle pipeline CI/CD di cui non viene verificata l’integrità. Rappresenta una di quelle vulnerabilità che hanno un impatto maggiore tra i dati delle Common Vulnerability and Exposures, CVE. Un esempio è CWE-494, ovvero il download di codice senza controllo precedente sull’integrità.

I fallimenti relativi all’integrità del software e dei dati sono legati a codice e ad infrastrutture che non proteggono adeguatamente contro le violazioni dell’integrità. Un esempio è un’applicazione che si basa su librerie, plugin o moduli provenienti da fonti e repository non affidabili. Inoltre, attualmente, molte applicazioni prevedono l’attivazione della funzionalità di auto-aggiornamento, in cui questi aggiornamenti vengono scaricati senza essere verificati e quindi con potenziali falle nella loro integrità. Gli attaccanti potrebbero quindi approfittarne e caricare le proprie versioni, da distribuire ed eseguire. Un altro esempio di vulnerabilità in questa categoria è quello in cui oggetti o dati sono vulnerabili alla de-serializzazione perchè vengono codificati o serializzati in un modo che un attaccante pùo vedere e modificare.

Fallimenti nel logging e nel monitoraggio della sicurezza

Il logging e il monitoraggio della sicurezza sono essenziali per rilevare e rispondere alle violazioni attive. Se inadeguati, possono portare a una mancanza di visibilità e allerta sugli incidenti. Questa categoria è salita nella classifica, sottolineando la sua attuale importanza. Comprende debolezze come logging insufficiente, omissione di informazioni rilevanti per la sicurezza e inserimento di informazioni sensibili nel file di log.

Questo tipo di situazioni possono verificarsi quando eventi importanti non vengono registrati, gli avvisi e gli errori generano messaggi di registro poco chiari o inadeguati, i registri non vengono monitorati per rilevare attività sospette, o vengono archiviati solo a livello locale.

L’attività di logging e di monitoraggio sono quindi fondamentali per rilevare e rispondere alle violazioni. E’ essenziale garantire però, che gli eventi di registrazione e di avviso non siano visibili agli utenti non autorizzati o agli aggressori.

Falsificazione della richiesta lato server

La Server-Side Request Forgery, SSRF, è una vulnerabilità in cui un aggressore pùo manipolare l’applicazione per facendole inviare richieste a una risorsa non prevista. L’aggressore pùo sfruttare questa vulnerabilità per accedere a risorse interne o per eseguire azioni per conto dell’applicazione. Ciò pùo portare alla perdita di dati, all’escalation dei privilegi o alla completa compromissione del server.

Per prevenire le vulnerabilità SSRF, è necessario utilizzare tecniche di convalida e sanifica dell’input per garantire che gli URL forniti dall’utente siano legittimi e sicuri da utilizzare. Inoltre, è necessario utilizzare le regole del firewall e un ferreo controllo degli accessi per limitare l’accesso alle risorse sensibili.