Güvenlik Java ve Web Uygulama Güvenliği

Transkript

1 Güvenlik Java ve Web Uygulama Güvenliği Melih Sakarya

2 Olası Açıklar Donanımsal açıklar Sistemsel Açıklar Yazılımsal Açıklar Sosyal Mühendislik

3 Yazılımsal Açıklar Yazılımcı neden hata yapar? Yaşam döngüsünün tam olarak anlaşılmaması Bilinmeyen hata durumları Eğitimsel eksiklik Yazılım ekiplerindeki sirkülasyonlar Yetersiz test

4 Web Uygulama Güvenliği DoS (Denial of Service) atakları D-DoS (Distributed DoS) atakları Virüsler Sistemsel açıklar (İşletim sistemi, Uygulama Sunucusu, Firewall, Veritabanı) Yazılım geliştirici nedenli açıklar.

5 Yazılımcı Neyi Yanlış Yapar? URL güvenliği? Form güvenliği? XSS (Cross-Site-Scripting) Session mekanizması? Cookie güvenliği? Olası DoS imkanları? Hatalı konfigürasyonlar? Kaynak kod güvenliği?

6 URL Güvenliği Sebepleri URL ile bilgi paylaşımı URL üzerindeki müdahaleler ile bilgiye erişme Örnekler... Korunma URL şifreleme Sorguları kişiselleştirme

7 Form Güvenliği Sebepleri Kişiselliştirilmiş bilgiyi form üzerinde taşıma İzinsiz alanlara müdahale Örnekler... Korunma Bilgiyi sunucuda saklama Kontrolleri sunucu tarafında yapma

8 Session Güvenliği Session bir oturumu ifade eder Sunucu taraflıdır. İstemci sunucu tanımlaması session-id ler ile sağlanır Session-id cookie veya url ile taşınır. Çalınması sizi başka bir kullanıcı yapar Sunucu İstemci İstemci

9 Session Güvenliği Sebepleri İstemci sunucu arasındaki haberleşmenin dinlenmesi İstemci üzerinde session bilgisini alabilecek işlemlerin yapılması Örnekler... Korunma SSL ile dinlemeleri engelleme İstemci taraflı kod çalıştırılmasını engelleme - XSS SessionId dışında kontrol mekanizmaları kullanma

10 XSS Cross Site Scripting Sebepleri Anlamsız bilgi kabul etme İstemciler üzerinde istenmeyen script kodları çalıştırma Örnekler... Korunma Script gönderimini engelleme Gelen talepleri filitreleme

11 Sql Injection Sorgulara ekstra kullarlar enjekte etmektir. Yeni sorgular oluşturarak istediğiniz değerlere erişebilirsiniz. Yetki dahilinda var olan veri yapısına zarar verilebilir.

12 Sql Injection Sebepleri Veriler üzerine sql izinleri verme Veritabanı sorgularını parametrik değerler yerine string sorguları olarak gönderme Örnekler... Korunma Akıllı karakter kontrolleri Persistence katmanlar, Prosedürler veya PreparedStatement lar kullanmak.

13 Sql Injection select * from kullanici where id=1 or 1=1 select * from kullanici where id=1 or char(32,111,114,32,49,61,49,32)

14 Cookie Güvenliği Sebepleri Kullanıcı verisinin açık şekilde istemcide saklanması Cookie üzerindeki bilgilerin değiştirilebilir olması. Örnekler... Korunma Açık kullanıcı verilerinin saklanmaması. Saklanan verilerin şifrelenmesi. Birden fazla tipte kontrol yapılması.

15 Olası DoS İmkanları Sebepleri Sisteme yük bindirebilecek operasyonlar. Yük getirecek operasyonların tekrarına izin vermek. Örnekler... Korunma Kullanıcıya açık sistemlerde kaynak harcayabilecek alanların izlenmesi ve kontrolü. Sistemde günlük hareketler izlenmeli.

16 Hatalı Konfigürasyonlar Sebepleri Sistemsel konfigurasyonlarda olası hatalara ver vermek. Entegrasyonlar nedeni ile oluşan açıklar. Örnekler... Korunma Dışa açılmaması gereken bilgilerin güvenliğine dikkat etmek. Doğru test süreçlerini gerçekleştirmek.

17 Kaynak Kod Güvenliği Sebepleri Derlenmiş kodların ters mühendislik ile kaynak koda çevrilebilmesi. (reverse-engineering) Gerçek zamanlı byte code manipulation. Örnekler... Korunma Kodların derleme ile birlikte karmaşıklaştırılması. (Java Obfuscation)

18 Teşekkürler Melih Sakarya Merge Danışmanlık