Aspectos de Seguridad en paginas Web

Presentación del tema: "Aspectos de Seguridad en paginas Web"— Transcripción de la presentación:

1 Aspectos de Seguridad en paginas Web
Programación Web Aspectos de Seguridad en paginas Web

2 Puntos importantes a considerar
Conocer la amplia guía de desarrollo OWASP  , que cubre la seguridad de sitios web de forma muy completa. Conocer el fundamento de los ataques de inyección SQL  y cómo prevenirlos. Jamás confiar en los datos introducidos por los usuarios. Evitar el almacenamiento de contraseñas en texto plano utilizando técnicas criptográficas como hashes y salts. No intentes utilizar tu magnífico y elaborado sistema de autenticación; es bastante probable que existan fallos

3 Evitar el secuestro de sesiones (session hijacking ).
impredecibles de los que sólo te darás cuenta después de haber sido hackeado. Usar SSL/HTTPS en las páginas de identificación de usuarios y, en general, en todas aquellas páginas donde sea introducida información sensible, como datos personales o bancarios. Evitar el secuestro de sesiones (session hijacking ). Evitar los ataques XSS (Cross Site Scripting ). Evitar los ataques XSRF (Cross Site Request Forgeries ). Mantener tus sistemas actualizados con los últimos parches disponibles.

4 Asegurarse de que la información de conexión a la base de datos está almacenada en un lugar lo suficientemente seguro. Mantener informado sobre las últimas técnicas de ataque y vulnerabilidades que afecten a la plataforma sobre la que trabajas.  

5 Conceptos Inyección SQL : Se dice que existe o se produjo una inyección SQL cuando, de alguna manera, se inserta o "inyecta" código SQL invasor dentro del código SQL programado, a fin de alterar el funcionamiento normal del programa y lograr así que se ejecute la porción de código "invasor" incrustado, en la base de datos. Ejemplillo: consulta := "SELECT * FROM usuarios WHERE nombre = ‘ " + nombreUsuario + “ ‘ ; “ Correcta: “Alicia” SELECT * FROM usuarios WHERE nombre = 'Alicia';

6 Codigo SQL Inyectado: "Alicia'; DROP TABLE usuarios; SELECT * FROM datos WHERE nombre LIKE '%“ Acción subsecuente: SELECT * FROM usuarios WHERE nombre = 'Alicia'; DROP TABLE usuarios; SELECT * FROM datos WHERE nombre LIKE '%'; Resultado: Se seleccionarán todos los “usuarios” con el nombre Alicia de la tabla “usuarios”, se eliminará la tabla “usuarios”, y por último se seleccionará para su manipulación posterior la tabla “datos”, que no debería (en teoría) estar disponible para los usuarios.