Latest / Entre Chaves / #263 OWASP Top 10: as ameaças web mais perigosas atualmente

Transcript

#263 OWASP Top 10: as ameaças web mais perigosas atualmente · Entre Chaves

0:02
Está começando mais um entre chaves o seu podcast
0:05
desenvolvimento de software e voltamos com nossa parte 2 tão
0:09
aguardada pra poder falar sobre a parte de cima do asp top 10.
0:12
Se você não tá sabendo ainda, tá por fora.
0:14
O que que é o asp top 10? Volta um episódio, aí não pula
0:17
não porque é extremamente relevante pra você e o seu dia a
0:19
dia como desenvolvedor de software.
0:21
Então vamos falar aqui sobre a segunda metade.
0:23
Né? O top 5 as 5 vulnerabilidades do
0:27
mundo mais danosas pro nosso software e eu fiquei sabendo que
0:30
tem algumas delas aqui que estão presente em 100% das milhões de
0:35
aplicações testadas. Não é isso mesmo?
0:37
A gente vai chegar lá então pra poder falar sobre isso.
0:39
E pra poder começar, nós vamos falar sobre uma das
0:41
vulnerabilidades mais geniais, mais legais de todas e mais
0:44
divertidas de serem exploradas. E a minha favorita, que é o
0:48
injection, né? E.
0:50
Entra ano, sai ano. Essa é outra que não adianta,
0:53
né? Às vezes ela se junta aglomera
0:55
com mais alguns fatores, mas está sempre aparecendo.
0:58
Sobe um pouquinho no pódio, desce um pouquinho, não importa,
1:02
ela está presente bom. A vulnerabilidade de injetion
1:05
ela começa com um erro nossa aplicação, basicamente, ela gira
1:09
em torno de dessa aplicação aceitar um input de um usuário
1:14
não confiável. E esse input parte dele, a tela
1:16
inteira vai ser executado como um comando dessa aplicação, e
1:19
essa aplicação não vai validar essa entrada e vai executar esse
1:21
comando, mas. Calma aí, como assim?
1:22
Se eu colocar um código em c Sharp lá, minha aplicação vai
1:25
executar esse código cara? Potencialmente.
1:27
É ou até mesmo? JavaScript ou uma pesquisa de
1:30
carrey de banco de dados? Então, por exemplo, se você tem
1:33
uma rota de login, por exemplo, 11 formulário, eu acho que tem
1:36
um vale senha, e essa senha não é validada.
1:38
Eu posso colocar um select todos da sua tabela de usuários e isso
1:42
provavelmente o banco de dados vai retornar todos os usuários.
1:44
Então eu tenho diferentes tipos de injeção de dados aí, né?
1:48
Algumas delas para bancos de dados, que são os famosos SQL
1:51
injections, né? Enquanto isso, eu tenho outros
1:54
tipos de injeção também, como o herbitrarie, codection ou a
1:57
injeção de JavaScript, né? Popularmente conhecido como xss,
2:00
dependendo da categoria e do modo como que você faz.
2:03
E parece que tudo isso que você falou aí está voltando sempre
2:07
para o input do usuário, né? O que seriam maus exemplos e
2:11
bons exemplos da utilização disso daí?
2:13
É perfeito. O que a gente falou são vários
2:15
tipos de de ataques e em Gerson, e dentro desses ataques, em
2:18
vários tipos de subcategorias. E todos, todos eles se baseiam
2:22
de fato na validação de entrada. Então um exemplo ruim seria você
2:25
não validar a entrada ou validar ela de forma incorreta, né?
2:28
Ou não, completa. Então você tem, por exemplo, uma
2:30
validação de uma senha. Só que você, um de um e-mail,
2:33
por exemplo, você permitir caracteres especiais como
2:36
porcentagem é setinha, mas você, por exemplo, vai ter um e-mail
2:39
com 500 linhas, não é? Não é necessário, né?
2:42
Eu acho que ninguém tem no meio. Desse tamanho?
2:43
Um exemplo que eu costumo dar para o pessoal quando a gente
2:45
fala sobre esse tópico, é o exemplo da validação do
2:47
telefone. Então, um telefone, ele é um
2:51
dado muito bem construído que a gente sabe exatamente o que que
2:54
vai ter nele. A gente sabe que ele tem um
2:55
sinal de mais para informar o ddi que ele tem 12 ou 3
2:59
caracteres numéricos, né? Para informar o ddi.
3:01
O parênteses pro DDD ele tem um hífen ou não, né?
3:04
Dependendo de como você colocar sua máscara, pode ser que ele
3:07
seja exclusivamente numérico, não tem problema, mas a gente
3:10
sabe principalmente que ele tem um limitador de tamanho e a
3:13
gente sabe que ele não possui nenhum caractere alfabético.
3:15
E é engraçado porque o comentário que eu faço é o
3:18
seguinte, olha, usualmente a gente utiliza programação
3:22
orientada a objetos, né, pra poder descrever o mundo, né?
3:25
Por meio do código e a programação orientada a objetos
3:28
ela tem como objetivo um deles, né?
3:30
Refletir. Os objetos do mundo real
3:32
representá Los dentro de um código de algum, de uma certa
3:35
forma, né? Então esse é 11 dos paradigmas
3:37
desse tipo de programação. Agora, eu não conheço nenhum
3:41
telefone do mundo real que tem um caractere alfabético, então
3:44
por que que o seu telefone do código deveria ter, né?
3:46
Ele deveria estar sendo validado pra não compor, afinal o seu
3:49
objetivo dele é refletir o objeto do mundo real, ele
3:51
deveria espelhar essas mesmas características, certamente e
3:54
pro. Desenvolvedor não ter que ficar
3:56
olhando de país em país qual o padrão de telefone?
3:59
Existem já diversos regex que podem utilizar de contém padrões
4:02
universais, telefone de e-mail, por exemplo, então você vai
4:05
abordar todas as possíveis é vulnerabilidades que aquele
4:08
campo poderia ter, não é isso aí completa que é um regex, vai
4:12
permitir tais caracteres, vai limitar, então vai ser uma mão
4:14
na roda. Então eu recomendo você dar uma
4:16
pesquisada sobre regex. Então, apesar dessa ser a minha
4:18
vulnerabilidade favorita, eu acho que na resolução, talvez
4:21
ela seja até uma das mais simples, né?
4:23
Em resumo, a gente precisa garantir que aquele campo receba
4:27
única e exclusivamente o que é esperado pra aquele campo.
4:29
Até porque essa é muito antiga, essa vulnerabilidade, desde que
4:32
a internet, a internet, ela existe.
4:34
Existem várias correções até pra banco de dados.
4:36
Por exemplo, você não precisa fazer uma pesquisa com carees,
4:39
pode usar urms que tem um prisma e que vai preparar.
4:43
Você só vai mandar o care edital.
4:44
E aí já tem uma care construída que você não precisa digitar e
4:47
não precisaria do seu código, da sua.
4:49
É daquele formulário, está vulnerável?
4:51
Não corre o risco de concatenar a entrada do meu usuário com o
4:56
comando que será executado, né? Porque assim, eu até entendo que
4:59
nós nós demos aqui o exemplo do telefone do e-mail, que são
5:02
Campos de caracteres muito bem definidos, mas existem outros
5:06
Campos que o input não é tão simples assim de ser validado.
5:08
Um campo de comentário, por exemplo, onde o usuário ele tem
5:11
a Liberdade de escrever aquilo que ele quiser, me parece ser um
5:13
pouco mais complexo nesses. Casos é onde você?
5:18
Tem textos maiores e que aceitam diferentes tipos de caracteres
5:21
que podem ser utilizados para escrever um código.
5:23
Válido, né? Que pode ser executado em algum
5:25
lugar da sua aplicação. A gente tem uma ferramenta muito
5:27
boa que é o incoding, né? Que é, ao invés de você
5:31
sanitizar, né, que é você apagar ou não permitir um tipo de
5:35
caractere específico, você vai usar uma linguagem de conversão
5:39
que vai representar aquele caractere de outra forma, né?
5:42
Então o incoding, ele faz isso. Então digamos que você não
5:45
queira. O caractere de maior e menor num
5:47
campo de comentário pra você impedir algum tipo de é XSS.
5:51
Você utiliza o incoding que aquele caractere vai ser
5:54
representado de outra forma que não tem o risco de ser executado
5:57
e ser interpretado como código, né?
5:59
Então basicamente o incoding ele torna aquele aquele texto de
6:03
inofensivo pra determinados tipos de interpretadores ou
6:06
compiladores. Então, as linguagens de hoje,
6:08
elas já estão vindo. Pelo menos algumas delas, né?
6:11
Parece já ter essa preocupação de forma nativa, né?
6:13
Um escape de forma nativo, na própria construção do do
6:15
framework, da linguagem e da biblioteca.
6:18
Então estão resolvida essa parte do injetion.
6:20
Vamos subir para o nosso top 4 chegando na pontinha do nosso
6:24
pódio, né? Então o top 4 são as falhas
6:27
criptográficas, que nome bonito, outro nome bonito que aparece
6:31
aqui, né? Falhas criptográficas, mas ainda
6:33
me parece um pouco genérico. E aí, luquinhas distante é para
6:37
gente aí, por favor, o que que significa essas falhas
6:38
criptográficas? É então assim, tem 4, né, de
6:41
falhas criptográficas ele, ele abrange várias falhas
6:44
diferentes, né, assim como todos os outros, mas vão estar
6:47
relacionadas ao uso de funções criptográficas é nos diversos
6:51
contextos, né? Por exemplo, na hora de você
6:54
criptografar uma senha nova de um usuário novo, né, qual são as
6:57
melhores práticas, né, para você fazer isso?
6:59
Quais algoritmos são os melhores para você utilizar, né?
7:02
Se você vai colocar um Salt antes e depois vai colocar um
7:05
Salt depois, né, o Salt é um. É um.
7:07
Tempero, um salzinho. Um salzinho a mais que você
7:10
coloca Na Na função de conversão, justamente pra você
7:13
tornar mais imprevisível ainda. Qual que é aquele resultado
7:16
final daquela senha? E aí pode ter vários tipos de
7:18
problemas, por exemplo, o uso de algoritmos já muito antigos.
7:23
Tipo, é um MD 5, é sha um. Algoritmos que já foram
7:27
quebrados pela fraqueza matemática deles, né?
7:30
E que hoje eles já não seriam mais significativos em questão
7:34
de criptografia. Assim, são mais facilmente
7:36
burláveis ali, né? É, mas também vai vai falar
7:39
sobre coisas como o armazenamento correto de chaves,
7:41
né? Se você coloca suas chaves em
7:43
locais acessíveis, né? Às vezes uma chave no código vai
7:47
entrar em falhas de criptografia, então você tem que
7:49
utilizar um pivalte, por exemplo. 11 armazenamento
7:51
adequado se você faz a rotação adequada desses dessas chaves,
7:55
né? Então troca periodicamente, né?
7:58
Evitando justamente. Que vazamentos se comprometam,
8:01
né? A integridade desses dados.
8:03
Então tem um bom processo de rotação de chaves também, acaba
8:06
caindo aí dentro, né? Um processo de criptografia em
8:08
trânsito com criptografia em repouso dos dados, tem uma boa
8:12
separação de ambientes, né? Para categorias diferentes de
8:14
dados, onde eles podem estar armazenados ou não.
8:16
Isso tudo entra dentro dessa categoria, certo?
8:18
Certo, exatamente. E vamos entrar no nosso pódio
8:22
então começando com a nossa medalha de bronze desse ano.
8:25
Que aparece pela primeira vez na lista da oasp top 10 e já chega
8:29
marcando um lugarzaço, Hein? Em terceiro lugar nós temos o
8:35
software supply chain filers. Então a novidade que aparece na
8:40
lista da oasp, mas que deveras nos últimos 4 anos, eu vi muitas
8:45
e muitas notícias sobre o assunto, né?
8:47
E que que é esse cara, né? O que que significa software
8:51
supply chain filers, né? As falhas de.
8:54
Cadeia de suprimentos de software.
8:57
Então esse que antes também poderia ser chamado de
9:00
componentes vulneráveis, né? O vunerobocomponentes é, na
9:03
minha opinião, Oo novo nome é mais adequado mesmo assim, visto
9:08
a as características, né? Dos ataques que estão
9:11
relacionados a esse item, né, então esse item 3, ele tá lá, tá
9:14
relacionado lá com o item 8, né? Onde a gente tinha é a
9:18
integridade, né, desses das bibliotecas que a gente importa
9:21
e nesse caso a gente volta a falar dessas bibliotecas
9:23
externas. Framurx, né?
9:25
É pacotes da npm, pacotes do cargo, plugins que a gente
9:29
instala Na Na pipeline, na infraestrutura, né?
9:33
Todos é pacotes de software, trechos de código que a gente
9:36
utiliza que não foram desenvolvidos pela gente, né?
9:39
Existe um debate de qual que é o número exato, mas é, eu já vi
9:43
tanto de 70 a 90% de código que está executando de fato no
9:48
final, né? Quando você acessa seu site que
9:49
você construiu. É de 70 a 90% desse código.
9:53
Ele, ele foi desenvolvido por outras pessoas, né?
9:55
Por outros desenvolvedores vocês.
9:57
Dizem assim, somando as bibliotecas, os framix e tudo
9:59
mais que opera ali por detrás. Né?
10:01
Exatamente. Isso mostra o quão importante é
10:03
esse código externo, né? Ele é a ele é a base para.
10:07
Grande parte da internet, grande parte da infraestrutura que a
10:09
gente utiliza para desenvolver. É eu, particularmente, não
10:12
lembro qual que foi a última vez que eu acessei um código escrito
10:15
em assemble puro sem nenhum tipo de importação, né?
10:18
É? Exatamente, então assim, com
10:20
certeza alguém te ajudou, né? Então, por isso que é tão
10:23
importante olhar para as falhas de cadeia de suprimentos.
10:27
O caso. Para mim, mais fatídico disso é
10:30
da biblioteca XZ útil de um agente malicioso, né?
10:34
Codinome gia tem, né, gia tem, passou a contribuir no projeto,
10:38
né? É OOXE útil, é uma é biblioteca
10:40
de utilidades, de descompressão, compressão e algumas outras
10:43
coisas muito utilizada No No Linux, né?
10:45
Se eu não me engano, quase todas as distribuição do Linux possuem
10:49
essa biblioteca e aí uma pessoa passou a contribuir, né?
10:52
Se é numa biblioteca open, SUS. Uma pessoa começou a contribuir,
10:55
ficou 2 anos contribuindo e ganhou.
10:57
Confiança da comunidade, né? E fez realmente contribuições
11:00
relevantes. Pra pra biblioteca?
11:02
Exatamente. E Do Nada, essa pessoa Do Nada
11:05
não, né? Tudo planejado, essa pessoa
11:06
subiu, né? Um trecho malicioso de código
11:09
ali, num blog escondido. E ninguém percebeu?
11:12
Até que um engenheiro da Microsoft estava divulgando
11:16
alguma coisa assim no computado dele fazendo um benchmark.
11:19
Ele percebeu uma. Diferença de alguns
11:20
milissegundos assim, na execução de uma função.
11:23
Ele ficou estranho, estranho isso aqui, e aí ele foi
11:26
investigar e descobriu esse trecho de código malicioso aí
11:29
nessa biblioteca, né? E.
11:32
Impediu aí que isso se tornasse um problema maior, né?
11:35
Muito que incrível a gente pensar que por causa de um
11:39
engenheiro da Microsoft que percebeu uma diferença de
11:41
milissegundos na chamada. A gente teve a descoberta de um
11:46
problema tão crítico, né? E tão profundo quanto esse.
11:49
Isso nos. Leva a pensar, né, o que onde
11:51
mais tem coisas parecidas, onde não tivemos?
11:53
Pensei nisso exatamente agora, né?
11:55
O quanto as bibliotecas talvez não estejam com problemas nesse
11:58
momento e que a gente só vai descobrir no futuro, né?
12:01
Beleza, mas e aí? Temos bons exemplos, temos maus
12:05
exemplos, mas e eu, como deve? Que que eu faço play se tem 3?
12:09
Tem várias coisas que a gente deve fazer para se defender
12:12
contra esse tipo de ataque, né? Primeiro, manter sempre as
12:16
bibliotecas do seu software na última versão, né?
12:19
As bibliotecas que você utiliza é bem atualizadas.
12:22
E utilizar um tipo de ferramenta que a gente utiliza diariamente
12:24
aqui, né, no nosso time de segurança, que é o sca, né?
12:28
Que é vai verificar justamente a composição do seu software ali.
12:32
Todas as bibliotecas que ele utiliza, os framex, é, e ele vai
12:35
ir lá na base da nvb, né, que é a base onde armazena todas as as
12:39
cvs, né, que são cadastradas. E vai verificar se existe alguma
12:42
cv ativa para aquela biblioteca. Então, só para deixar claro, cve
12:45
é uma vulnerabilidade já conhecida e.
12:47
Catalogada, né? Exatamente você tendo esse esse
12:50
relatório, né? Ali, com todas as
12:52
vulnerabilidades, você você vê quais bibliotecas precisam ser
12:55
atualizadas ou não, né? É importante ter esse essa
12:58
verificação constante, né? É melhor ainda é você colocar
13:01
esse tipo de verificação no seu pipeline.
13:04
Né? E quebrar ele caso tenha alguma
13:05
biblioteca com uma vulnerabilidade crítica, por
13:07
exemplo. E.
13:08
Aí volta pra outro tópico que a gente já falou que é o shift
13:10
left security, né? Mais uma vez os tópicos começam
13:12
a se encaixar aqui, né? Eu tenho a sensação de que nada
13:15
na segurança ela anda de forma isolada, né?
13:17
Ou pelo menos é bem raro, da sensação de que eles sempre
13:20
andam juntos. Uma coisa vai construindo a
13:22
outra, uma vulnerabilidade é sempre um conjunto de falhas,
13:24
né? Sim.
13:25
Exatamente. E agora vamos subir mais um
13:27
degrau no nosso pódio e ir pra nossa medalha de prata.
13:31
Security me configuration, mais uma figurinha repetida, só que
13:35
dessa vez no top Dead 2025. Aparece algumas posições acima
13:38
do esperado, Hein? Eu, particularmente, não achei
13:41
que ela fosse estar tão alta assim.
13:43
Talvez nem que voltasse a aparecer, que fosse quebrada em
13:45
outras categorias. Não sei, mas cá está ela
13:48
resistente no top 2? Pois é, cara, ela.
13:51
Voltou, acredito que já até antecipando um pouco, que eu
13:54
acho que o maior causa dela ter voltado é o crescimento de ar,
13:58
porque a configuração ela depende de contexto.
14:00
E basicamente a falha de culturação, né?
14:02
O mis configuration, ele gira em torno da sua aplicação.
14:05
Não está bem configurada você ter um banco, uma porta de banco
14:08
de estados aberta, você ter usuários com senha padrão ainda
14:11
certificados com a senha de assinatura padrão, tudo isso
14:14
engloba é as falhas de segurança de configuração, é que nem eu
14:17
falei do certificado, por exemplo, você pode ter melhor
14:20
forma de dedicação m é fiar, você pode ter tudo, mas vai lá
14:23
ser o certificado AAA senha dele é pública e qualquer pessoa
14:26
consegue personificar qualquer um.
14:28
Então, você ter esses exemplos assim é muita coisa.
14:30
Sempre parece bastante coisa da gente olhar certificado é JBT
14:33
ata de carsom me afiar é muita coisa, mas são Pequenos Detalhes
14:36
que fazem muita diferença Na Na alta de.
14:37
Carsom é como a gente acabou de comentar, né?
14:39
Nada da segurança. Ela é isolada, né?
14:41
Então você vai juntando uma pecinha de quebra cabeça daqui e
14:43
dali e de repente você tem uma figura inteira que você acabou
14:45
montando, beleza, a gente tem alguns exemplos ruins, né?
14:48
Do que que pode ser isso, então? Você não colocar o Harden de
14:52
maneira apropriada, você não listar a sua nuvem das maneiras
14:55
corretas validar seus certificados, né?
14:57
Aplicar as as tug of features específicas que podem melhorar a
15:01
robustez da sua aplicação. Mas e agora, pra quem tá ouvindo
15:04
a gente, o que que essa pessoa pode buscar fazer pra conhecer
15:07
quais são essas possíveis falhas de configuração?
15:09
Porque como você comentou, né? Eu imagino que isso tenha
15:12
crescido por causa da utilização da IA e eu posso até concordar
15:14
com você, mas eu duvido muito que as pessoas vão parar de
15:16
utilizar a IA. E aí, que que eu posso fazer a
15:18
respeito? Então com certeza é, existem 2
15:21
cenários, existe o caminho que a aplicação já está desenvolvida,
15:23
já está pronta, só que as confurações estão erradas.
15:25
E aí no cenário que você vai começar a aplicação do zero e
15:28
você vai começar estabelecendo as confurações pro primeiro
15:31
cenário de aplicação não está pronta.
15:32
Acho que o melhor processo é juntar com 111 time de que é uma
15:36
coisa do tipo, pra poder testar a aplicação de fato, testar as
15:39
configurações delas, se estão de um apadrão, rodar um animec, por
15:42
exemplo, uma aplicação pra ver se as portas estão abertas.
15:45
É, deveriam estar abertas de fato pra ver se os usuários de
15:48
administradores possuem uma senha, seja segura, certificada.
15:51
Ele está com um pouco indiferente do padrão e várias
15:54
outras coisas. É e pra pro que está começando
15:56
agora, eu acho que a gente até começou, conversou um pouco e a
15:58
famosa, essa batida de segurança, você lê de fato a
16:01
documentação daquilo que você está usando, você não usar
16:04
aplicativos que não sejam necessários pra somar essa
16:07
aplicação que vão ficar boiando e somando dados.
16:09
À. Toa limpar todos os recursos
16:12
features que não são mais necessários nessa aplicação é
16:15
sempre foi uma boa prática. Né?
16:17
Exatamente. E queria fazer essa batida ainda
16:19
é muito importante porque você juntar com grupo de pessoas pra
16:22
entender como aquela aplicação funciona e ver se aquela curação
16:24
deveria ser daquele jeito ou você lê.
16:27
Isso é muito importante, estar desenvolvedores, leiam a
16:29
documentação, mas que doa. Dói muito falar isso.
16:32
Eu também não gosto muito de ler, mas a documentação é muito
16:34
importante porque lá ela fala o que são as aplicações padrão que
16:37
deve ser alterado, como que a aplicação ela bem que é moldada.
16:40
Então é muito importante você ter contato, documentação ou
16:43
tabela debaixo do braço pelo sujo dos elos.
16:44
Fatos é, e outra coisa que você comentou é não confiar na ya pra
16:47
poder fazer decisões que são baseadas em contextos, né?
16:49
Então, quando você precisar de ativar, desativar algum recurso.
16:52
Que você saiba exatamente o que que é, aquilo que você está
16:54
fazendo para poder ter a garantia da sua decisão.
16:56
Exatamente, aí ela é uma mão na roda, todo mundo sabe, ela é
16:59
útil demais, faz o código, cria código, corrige, só que o
17:02
contexto ela não entende. Certamente você pode tentar
17:04
explicar um pouco para ela, mas não vai ser o que um humano vai
17:07
conseguir interpretar. Você sabe que essa aplicação ela
17:09
deveria passar de uma forma específica, mas aí ela não
17:12
consegue pegar direito a essa visão, ela vai fazer uma
17:14
configuração que ela não deveria.
17:16
Então é sempre ela é muito útil, vai te dar a talvez melhorar a
17:20
sua figuração, mas você precisa guiando e fazer a revisão
17:22
manualmente. E agora a gente vai para o nosso
17:25
top um, o saudosista Broken access contil e parabéns aí mais
17:31
de 1 ano, né? Onde o Broken access contil
17:33
aparece e aparece uma posição extremamente relevante.
17:37
São várias e várias listas em sequência onde ele aparece pelo
17:40
menos no top 3, né? 2 em seguidas no top um.
17:43
Então o Broken access control passaram se 4 anos desde a
17:48
última lista e ele continua sendo a vulnerabilidade
17:53
potencialmente mais danosa do mundo em relação a aplicações
17:57
web. E aí, lukins, o que que é esse
17:59
cara e o que que a gente tem que fazer para tirar ele dessa lista
18:02
para o próximo, daqui 4 anos? Não é possível que ele vai
18:05
continuar lá de novo. É, cara, vai ser um trabalho
18:07
difícil, presente em nada mais nada menos do que 100% das
18:11
aplicações testadas pela oasp. Essa vulnerabilidade ela é.
18:14
Sim, você está me dizendo que a oasp ela fez esse essa pesquisa
18:17
com milhares de aplicações e em 100% milhões milhões de
18:23
aplicações e em 100% delas. Existe alguma forma de brockenex
18:28
contra O Presente? Exatamente.
18:30
Esse cara não está no top um à. Toa, né, não está?
18:32
E vamos lá, né? Vamos falar sobre alguns dos
18:35
problemas, né, que estão relacionados com o bloquemex,
18:38
né? O primeiro, mais básico, que
18:39
talvez seja o motivo principal dela aparecer tantas vezes, é a
18:43
falta de reforço do princípio de privilégio mínimo.
18:46
Os profissionais de segurança estão falando isso aí há
18:47
décadas, décadas e décadas e décadas, né?
18:50
E esse princípio ele ainda não é seguido à risca, né?
18:53
Não é um princípio básico da computação no geral, mas deveria
18:56
ser, porque o princípio do privilégio mínimo ele vai falar.
18:59
Um usuário daquele sistema, né, um agente que agora a gente tem
19:03
que falar de agentes também, né, que tem agência, né, dentro de
19:05
um contexto, né? Eles só podem ser permitidos a
19:08
fazer aquilo que é o mínimo necessário pra eles conseguirem
19:12
fazer sua sua função ali dentro também, e isso não vale só em
19:16
relação a permissões pra fazer determinadas funções, mas
19:20
horários também, né? Qual, qual os horários desse
19:23
esse agente, esses usuários vai poder fazer isso, né?
19:26
A quantidade também, né? Quantas vezes essa pessoa pode
19:28
fazer isso? Então é você ter muito bem
19:31
controlado aquilo que essa pessoa pode fazer e dar só esse
19:34
acesso, né? Pra essa pessoa nada mais, nada
19:37
menos que o necessário. Então, o padrão ele deveria ser
19:41
permitir somente o mínimo de início, ao invés de dar tudo e
19:45
depois ir tirando. Exatamente, exatamente.
19:48
É melhor você autorizar 111 caso extra ali que surge do que
19:53
deixar todo mundo fazer a mesma coisa e ter que lidar com o dano
19:56
do ataque depois, né? Então, a questão do privilégio
19:59
mínimo é, é é algo crucial para o bloquemex control tem que ser
20:03
reforçado, né? E bem configurado, né?
20:05
Nas diversas ferramentas de identidade, né, que a gente
20:08
utiliza. Mas a gente também tem diversos
20:11
outros problemas em relação a isso.
20:13
Por exemplo, idor, né? Que é 11 vulnerabilidade bem
20:16
comum. Dá um exemplo de código aí pra
20:18
gente, que que é isso, idor? E como é que ele opera?
20:20
Sabe quando você acessa um site que você tem um cadastro ali?
20:23
Nem precisa ser um site que você tem um cadastro, mas você tem.
20:26
Digamos no site como a lista lista de de livros, né?
20:29
Lista de alguma coisa assim que você pode acessar diversas
20:33
coisas na mesma categoria, aí você olha Na Na URL e tem um
20:37
número, né? É no final, tipo barra, books
20:40
barra e 11, número ali qualquer, né, tipo 1003.
20:45
A gente que já desenvolve, né? A gente chega à conclusão, tá,
20:48
esse é um é o ID desse item, né? E muitas vezes a gente não atina
20:51
que isso é uma vulnerabilidade, né?
20:53
Pode ser uma vulnerabilidade. Claro que se for publicamente
20:56
acessível, tudo bem, né? Você tem um ID ali e ele ser
21:00
sequencial, né? Se você colocar 1004, 1005, você
21:03
vai ver outras itens da mesma categoria, né?
21:05
Imagino que uma listagem de livros talvez não tenha problema
21:09
por ser público, mas se eu estou falando que essa listagem são de
21:13
documentos pessoais meus em um site do governo, ou talvez não
21:18
sei alguma coisa até um então. Talvez um pouco mais crítico,
21:20
como 11 site de um hospital onde eu estou vendo um laudo médico.
21:23
Meu, exatamente. E aí que surge o problema de
21:26
bloquenexis, né? Que é quando você vai acessar 11
21:30
documento, um arquivo, uma página privada, ela tem um ID
21:34
sequencial e numérico, né? E você simplesmente mudando
21:38
aquele ID ali pro próximo ou pro anterior, é você acessa outro
21:42
documento que não te pertence. Então esse é o grande problema
21:45
do do idor relacionado ao bloquinexis, né?
21:47
Engraçado que. Muitas vezes, quando a gente
21:49
está desenvolvendo, eu nem paro para pensar sobre isso, né?
21:51
Mas entender que o comando que você envia na URL ou no body,
21:56
ele não pode ser assumido como verdadeiro, né?
21:59
Porque, afinal, eles podem ser mudados pelo usuário.
22:01
Eu posso interceptar o body da minha requição e escrever o body
22:04
eu mesma, seja num por meio de um proxy no meu computador ou
22:07
por meio do postman, escrever requição direta para o Beck, né?
22:09
E na URL? Então nem se fala meu próprio
22:11
browser, eu vou lá e edito ele, aperto o enter e pronto.
22:14
Com certeza, se fosse pra escolher os controles, eles são
22:16
preferíveis de estar no back end do que no font end.
22:19
Sempre, né? Sempre.
22:20
Porque o atacante, ele nunca vai atacar usando só o font end.
22:22
Ele com certeza vai abrir o postman, o barco sweet dele, e
22:26
vai modificar as as requisições ali na mão.
22:28
E vai achar esse tipo de vulnerabilidade com certeza, se
22:31
não tiver sido tratado. Previamente, né, ó?
22:33
A dó foi um excelente exemplo, né?
22:35
A dó significa in securi direct object reference, né?
22:38
Uma referência direta ao objeto, de forma insegura.
22:41
Então, por exemplo, o laudo médico, né, que é onde a gente
22:43
tem uma página privada com o ID lá na URL.
22:45
Se eu mudar ele e acessar o outro laudo, é exatamente isso,
22:48
né? É um acesso direto.
22:50
E assim, às vezes o sistema, ele até verifica que eu estou
22:52
logado, né? Ele sabe que eu estou logado,
22:54
que eu faço parte daquele grande grupo do sistema.
22:57
Mas ele não consegue diferenciar que eu poderia ter acesso a um
23:00
dos laudos, mas não ao outro, né?
23:03
Então tem essa diferençazinha aí do de outra categoria que a
23:07
gente falou que foram das falhas de autenticação, né?
23:10
Então o Brooke access, ele ele já passou da parte do login, né?
23:14
Eu já estou logado dentro do sistema.
23:16
Agora, o que o sistema falha em identificar é onde eu posso e
23:19
onde eu não posso ir. Então, um exemplo que a gente
23:21
costuma sempre trazer, quando você entra numa empresa ou você
23:24
vai num show, você até apresenta um ingresso na entrada, você é
23:27
validado pelo segurança, bate o QR Code, o bi coloca a
23:30
pulseirinha no seu braço e você entra.
23:32
Mas poder estar dentro do show não significa poder ir no
23:35
camarote, né? Então tem que ter essa diferença
23:38
de contextos dentro do seu cenário.
23:40
E acho que volta, porque que você falou no início?
23:42
É garantir o mínimo possível. Primeiro, o cara que tem que ir
23:45
no camarote é quem vai cantar lá no palco, não, beleza, agora que
23:48
eu sei quem que é, eu vou dar essa exceção a essa autorização
23:50
Pra Ele. Especial, né?
23:51
Mas no início tá todo mundo proibido, uau, então o
23:55
proconexas mais uma vez aparece aqui de forma extraordinária,
23:58
né? Da nossa lista, 100% das
24:01
aplicações testada, 100% é um número bem grande, viu bem, bem
24:04
grande e espero que a gente tenha feito a nossa parte pra
24:07
que daqui 4 anos, né, quando a asp lançar novamente a lista de
24:10
top 10 dela. Pô, vai, vamos, vamos descer aí,
24:13
não vou, eu não vou sonhar para falar, Ah, eu quero ver ele fora
24:16
da alista, mas pelo menos fora do top 3, né?
24:18
Vamos descer um bocado aí, porque a nossa parte a gente tá
24:20
fazendo desse lado, né? Então tomem consciência do
24:23
software de vocês, testem bastante, voltem aí, acessem a
24:26
alista da asp, escutam de novo as dicas, leiam lá as
24:29
documentações, façam o que tiver que fazer e por favor, incomodem
24:33
os times de segurança, porque eles precisam dar apoio para que
24:37
vocês possam desenvolver bons softwares, né?
24:39
Afinal, tem que ser um conjunto, não adianta ambos os lados
24:43
trabalharem de forma separada, né?
24:45
Acho que com essas dicas maravilhosas aqui e essas
24:48
chamadas para ações, a gente pode encerrar o episódio, né?
24:50
Já está suficiente. Então pessoal, muito obrigado
24:53
pela atenção de vocês, espero que tenha sido construtivo.
24:55
Dê um confere lá no asp top 10 e até mais.
24:58
Valeu, valeu gente, tchau, tchau.