Publicada la OWASP Testing Guide v4

  • 0

Publicada la OWASP Testing Guide v4

Introducción

El pasado 17 de Septiembre se presento oficialmente la versión 4 de la Guía de Testing de Owasp. La verdad es que la noticia paso sin pena ni gloria por los diferentes blogs y paginas dedicadas a la seguridad. Creemos que es una noticia muy importante y no se ha dado la transcendencia que merece. El Owasp Testing Guide es un libro imprescindible que debe estar en todo auditor de seguridad o persona que quiera conocer mas sobre el tema tan apasionante de la seguridad informática.

Figura 1: Portada de la Guía OWASP de Testing.

Figura 1: Portada de la Guía OWASP de Testing.

En principio y hasta que este traducida la podremos de leer en dos formatos en pdf (https://www.owasp.org/images/5/52/OWASP_Testing_Guide_v4.pdf) o accesible en a través del web (https://www.owasp.org/index.php/OWASP_Testing_Guide_v4_Table_of_Contents).

¿Que es la versión 4 de la Testing Guide de OWASP?

La Testing Guide es una guía, como su nombre indica de, una serie de pruebas que se pueden hacer a sistema y aplicativos para comprobar su seguridad. Dicho así suena como a “chino”, pero vamos a intentar ver como funciona mirando un capitulo de dicha guía como ejemplo.

La idea de cada capitulo es definir una prueba o un problema. Se explica el mismo, que es, que se intenta conseguir, etc. A continuación se definen una serie de pruebas con código y respuestas para ver como se puede evaluar si el sistema o aplicativo es vulnerable a ese problema. Y para terminar se recomiendan una serie de herramientas que automatizan en la medida de lo posible estas pruebas.

Ejemplo de prueba de la guía “Test HTTP Methods (OTG-CONFIG-006)”

El estudio de cada uno de los problemas o pruebas que debemos hacer en los sistemas o aplicativos se dividen en una serie de partes que nos indicaran que es y como se puede comprobar si el sistema es vulnerable.

Summary

Primera parte del estudio de la vulnerabilidad. En la versión Inglesa recibe el nombre de “Summary”. En esta parte explican de una manera clara cuales son las puntos importantes de estas caraceteristicas de los sistemas o aplicativos. A modo de ejemplo, podemos ver en esta captura la explicación de los métodos HTTP (HEAD, GET, POST,PUT,DELETE,TRACE,OPTIONS,CONNECT) lo que son y para que se utilizan.

Figura 2: Summary, donde se explican las características de la vulnerabilidad.

Figura 2: Summary, donde se explican las características de la vulnerabilidad.

 

How to Test

A continuación viene la parte llamada “How to Test”. Como su nombre indica hace referencia a como se deben de realizar los test para comprobar si el sistema o aplicativo es vulnerable a este problema. En las pruebas se intenta usar comandos o por lo menos hacerlo de una manera muy simple.

Figura 3: How to Test, donde se explican como realizar los test para comprobar la vulnerabilidad.

Figura 3: How to Test, donde se explican como realizar los test para comprobar la vulnerabilidad.

Tools

En esta parte se hace referencia a las herramientas que podemos usar para realizar las pruebas que se han explicado anteriormente pero de una manera mucho mas automática.

Figura 4: Tools, listado de herramientas que podemos usar para realizar las pruebas.

Figura 4: Tools, listado de herramientas que podemos usar para realizar las pruebas.

References

Por ultimo la parte de “referencias”, un listado de enlaces donde podemos leer mas sobre este tipo de ataques, contra-medidas, etc.

 

Figura 5: References, listado de enlaces para conseguir mas información.

Figura 5: References, listado de enlaces para conseguir mas información.

Conclusión

Aunque hemos tenido que esperar un tiempo desde la versión 3 de esta guía, esta versión 4, seguirá siendo un libro imprescindible para realizar las auditorias de seguridad de las personas que nos dedicamos a esto de la seguridad.

Les recordamos los enlaces a los dos formatos disponibles hasta el momento en pdf (https://www.owasp.org/images/5/52/OWASP_Testing_Guide_v4.pdf) o accesible en a través del web (https://www.owasp.org/index.php/OWASP_Testing_Guide_v4_Table_of_Contents).

Un saludo


  • 1

OWASP Mobile Security Project

Selección_004Ahora que se acercan las vacaciones, empezamos o a pensar en la cantidad de nuevas vulnerabilidades encontradas para los distintos sistemas operativos de los móviles de los últimos meses, pues son fechas en las que tendemos a utilizar estos, en especial los que tienen acceso a redes 3G/4G y por supuesto incorporan tecnología wireless, vamos, lo que se dice un  smartphone.

Así que la gran pregunta es si se puede usar el móvil con seguridad y privacidad cuando estamos fuera de casa, a sabiendas de los riesgos que supuestamente corremos al conectarnos a redes desconocidas y/o no confiables. Tanto es así que hasta se ha creado una agencia europea. ENISA es la agencia europea por la información y la seguridad en la red y en su web podemos encontrar su propio top 10 de estos riesgos. Si profundizamos en esta web podemos ver que hay una descripción de los posibles ataques y sus posibles ejecuciones, pero siendo un poco crítico con Enisa tengo que decir que tienen que actualizar la información, si bien, Enisa sigue de cerca y tiene colaboración con OWASP, he observado que la información que está exponiende corresponde mayormente al año 2010 y que dicha información tiene en mi humilde opinión una catalogación menos precisa de estos riesgos. De hecho los riegos 1,2 y 3 que Enisa clasifica vienen englobados en la categoría M2 de OWASP.

Top Ten Smartphone Risks. EU Enisa

OWASP es sin duda la fundación que en este momento ofrece una auténtica metodología de trabajo en torno a la seguridad bajo una perspectiva libre y eficiente, así que ¿Por qué no vamos a hacerles más caso y ver que nos ofrecen al respecto?. En estos momentos el este proyecto tiene poco más de unos años de desarrollo pero es prometedor 
OWASP Mobile Project 2012 Goals

Selección_005

En el siguiente vídeo se nos muestra el Top 10 de vulnerabilidades encontradas en los últimos 3 años, esto es, desde el 2011, para dispositivos móviles. Cuales son los nuevos y últimos ataques y sus tipos. Que está cambiando respecto a estos 3 últimos años en cuanto al tipo de ataques y sus riesgos, además nos da una perspectiva general de como está en este momento la seguridad en el entorno del mundo del smartphone, a esta presentación le han puesto de título OWASP Top 10 Mobile Risks: 2014 Reboot, creo con la doble intención de hacer entender que el proceso de auditoría de seguridad en continuo y como un toque de atención a desarrolladores y empresas para que pongan más esfuerzos en desarrollar tecnología confiable y segura.

 


A la izquierda las viejas amenazas y su antigua clasificación (en gris), a la derecha la nueva clasificación de las amenazas.

Selección_007Selección_008

Traduciendo todo esto:

M1 Weak Server Side Controls: Ataques del lado del servidor. Los atacantes buscan vulnerabilidades en los servidores y una vez explotadas estas vulnerabilidades inyectan código maliciosos que luego intentarán apoderarse de nuestro terminal o ejecutar más código malicioso en el.
M2 Insecure Data Storage: Almacenamiento inseguro de datos. Se refiere mayormente a la perdida o robo de dispositivos móviles y el almacenamiento inseguro de los datos que este contiene.
M3 Insufficient Transport Layer Protection: Insuficiencia en la capa de transporte. Como se protege el transporte de los datos respecto a terceros que podrían estar ecuchando.
M4 Unintended Data Leakage: Se refiere a la perdida de datos por desentendimiento entre las aplicaciones y por ejemplo, el sistema operativo, hardware nuevo, nuevas configuraciones.
M5 Poor Authorization and Authentication: Pobre autorización y autenticación. Ya sean tokens u otros modos de autorización, una aplicación que se precie tiene siempre que evitar estos errores graves de seguridad.
M6 Broken Cryptography:  Criptografía rota. Mala praxis a la hora de utilizar criptografía obsoleta o rota.
M7 Client Side Injection: Inyecciones del lado del cliente. Siempre que un usuario este expuesto, puede existir la posibilidad de verse atacado por algún exploit o sniffing directamente contra su terminal. Inyección de código malicioso del lado del cliente.
M8 Security Decisions Via Untrusted Inputs: Decisiones de seguridad a través de entrada no confiables. Se supone que una aplicación móvil debería solo interactuar con otras aplicaciones confiables, dado que el si la aplicación utiliza software no confiable este podría contener código que aún no siendo malicioso podría ser aprovechado para realizar un ataque contra un terminal.
M9 Improper Session Handling: Impropio mantenimiento de la sesión. Mantener la vigilancia de las sesiones es tan importancia como su establecimiento en condiciones de seguridad. Si no se crean mecanismos para controlar una sesión ya sea mediante tokens u otros sistemas, es posible que alguien pudiera aprovechar el momento propicio para suplantar la misma.
M10 Lack of Binary Protections: Falta de protección en binarios. Es un tema controvertido puesto que existe mucho software bajo licencia GNU. Pero se hace referencia a que cualquier desalmado podría apoderarse de los posibles beneficios que podría generar una aplicación en el mercado si no se protegen adecuadamente los binarios. Mediante por ejemplo ingeniería reversa.


Conclusiones: Día a día nos encontramos con noticias de spyware, malware, y todo tipo de software malicioso orientado a los móviles, hay q tener clara dos cosas. Una, el smartphone almacena información personal y dos, es un ordenador con conectividad, por lo tanto es subceptible sufrir ataques por ejemplo contra la privacidad, tales como que nos “espien el whatsapp”. Sería de sentido común popularizar la idea de que la privacidad es una obligación más que un ocultamiento y de que un teléfono no es tan personal como muchos se creen.

Más info y presentaciones
Top Ten Mobile Risks
OWASP Mobile Security Project


  • 0

OWASP

Tags :

owaps

La fundación OWASP, es una fundación nacida en el año 2004 con objeto de mejorar la seguridad en el software. Mayormente esta fundación se dedica a difundir información para mejorar la seguridad, ya sea a través de sus publicaciones, libros, conferencias, cursos y otro tipo de eventos. Es una comunidad que se rige por varios principios:

Libre y Abierto
Gobernado por consenso
Cumplir con un código ético
Sin ánimo de lucro
No impulsada por intereses comerciales
Enfoque basado en el riesgo

 
 
 
 

Entre sus proyectos locales encontramos:

– Evaluación de la seguridad del DNIe (dni electrónico)

https://www.owasp.org/index.php/Spain/Projects/DNIe

– La especificación de los requisitos legales para aplicaciones web en España.

Identificación de las leyes y reglamentos que pueden afectar a la especificación de requisitos de una aplicación Web

https://owasp.org/index.php/Spain/Projects/Requerimientos_Legales

OWASP reune una gran cantidad de proyectos que están siendo desarrollados en los que encontramos utilidades para la mejora de la seguridad, tales como validadores de formularios para javascript, JSON, etc. y todo tipo de herramientas que dan al desarrollador control sobre lo que hace, normalmente bajo un principio: Se conservador en lo que tu haces, pero se liberal con lo que aceptas de los demás.

Básicamente nos viene a decir que no pierdas el control de lo que estás programando sin restringir en exceso la libertad del usuario. Sobre todo a la hora de validar los datos de entrada de una aplicación, que es mayor foco de vulnerabilidades normalmente.

Entre sus proyectos estrella encontramos OWASP Enterprise Security API, un conjunto de APIS que nos permitirán validar la fiabilidad de nuestro código fuente, ya sea PHP, .NET, python, java, javascript o asp. Muy interesante para alguien que quiera desarrollar código fuente reforzando aspectos de la seguridad.

https://owasp.org/index.php/File:OWASP_Classic_ASP_ESAPI.zip

Además sus tres herramientas más conocidas:

OWASP Web Testing Enviroment Project – Un live CD con las herramientas y la documentación necesaria para comenzar a utilizar OWASP

OWASP WebGoatProject – Es un proyecto web insecuro (a propósito claro) para poder hacer pruebas de pentesting. Está diseñado para probar y divulgar lecciones de seguridad.

OWASP Zed Attack Proxy – Es una herramienta para testear la seguridad de las páginas web, proporciona los escáneres necesarios para detectar vulnerabilidades.

En resumen OWASP es una comunidad abierta y libre sobre la seguridad en aplicaciones, que contiene un montón de proyectos, algunos bien conocidos por los hackers como joomscan.

Además sus libros realmente nos parecen bastante asequibles en cuanto a precio y muy interesantes.

http://www.lulu.com/spotlight/owasp