Podczas Warszawskich Dni Informatyki 2018 miałem okazję poprowadzić warsztat-prezentację o bezpieczeństwie aplikacji webowych. Mój cel - zastraszyć słuchaczy, aby zawsze mieli z tyłu głowy, że trzeba pamiętać o zabezpieczeniach, już od początku pisania aplikacji, a nie na sam koniec, bo jest to bardzo poważna sprawa.

Poniżej znajdziecie zbiór linków i artykułów, z których korzystałem przygotowywując prezentację. Po przeczytaniu ich wszystkich powinniście mieć lepsze pojęcie na temat bezpieczeństwa stron internetowych, niż wielu zwykłych śmiertelników. Przy czym większość materiałów jest po angielsku.

Infrastruktura sieci

• Kilka kroków jakie można podjąć by lepiej zabezpieczyć nasz serwer
  • https://www.acunetix.com/websitesecurity/webserver-security/
• Least-Privilage Isolation
  • http://www0.cs.ucl.ac.uk/staff/B.Karp/gz03/f2016/lectures/gz03-lecture20-OKWS.pdf
• Hacking 40 websites in 7 minutes, czyli o konieczności izolacji hostowanych aplikacji na jednym serwerze
  • https://hackernoon.com/how-i-hacked-40-websites-in-7-minutes-5b4c28bc8824

HTTPS

• Podstawy HTTPS - jak działa, po co, jak wdrożyć?
  • https://www.troyhunt.com/owasp-top-10-for-net-developers-part-9/
• Różnica między RSA, DSA i ECDSA, do tworzenia podpisów
  • https://askubuntu.com/questions/363207/what-is-the-difference-between-the-rsa-dsa-and-ecdsa-keys-that-ssh-uses
• Jak działa podpisywanie wiadomości przy użyciu RSA
  • https://crypto.stackexchange.com/questions/9896/how-does-rsa-signature-verification-work
• TLS Ciphersuite - zbiór algorytmów z jakiego korzysta przeglądarka przy połączeniu HTTPS
  • https://security.stackexchange.com/questions/166063/tls-rsa-vs-tls-ecdhe-rsa-vs-static-dh/166089
• Wprowadzenie do HTTP Strict Transport Security (HSTS)
  • https://scotthelme.co.uk/hsts-the-missing-link-in-tls/
• HTST preload
  • https://scotthelme.co.uk/hsts-preloading/
  • https://www.troyhunt.com/understanding-http-strict-transport/
• Darmowy vs płatny certyfikat SSL
  • https://scotthelme.co.uk/debunking-the-fallacy-that-paid-certificates-are-better-than-free-certificates-and-other-related-nonsense/
• Let’s Encrypt
  • https://letsencrypt.org
• AlwaysOnSSL
  • https://alwaysonssl.com
• DNS CAA - walidacja CA przez rekord DNS
  • https://scotthelme.co.uk/certificate-authority-authorization/

Nagłówki HTTP

• Sprawdź jakie nagłówki serwuje twoja strona
  • http://securityheaders.io/
• Jakie nagłówki dotyczące bezpieczeństwa są dostępne
  • https://scotthelme.co.uk/hardening-your-http-response-headers
• Content Security Policy Cheatsheet
  • https://scotthelme.co.uk/csp-cheat-sheet/
• Jakich nagłówkóch nie chcemy widzieć
  • https://www.troyhunt.com/shhh-dont-let-your-response-headers/

Ciasteczka

• Parametry ciasteczek
  • https://scotthelme.co.uk/tough-cookies/
  • https://www.troyhunt.com/c-is-for-cookie-h-is-for-hacker/

OWASP Top 10 - 2017

• Zbiór informacji o najczęstszych/najgrożniejszych atakach na aplikacje webowe w roku 2017
  • https://www.owasp.org/images/7/72/OWASP_Top_10-2017_%28en%29.pdf.pdf

Przydatne mechanizmy obrony przed atakami

• Ochrona przed Cross Site Request Forgery (CSRF)
  • https://www.troyhunt.com/owasp-top-10-for-net-developers-part-5/
  • https://scotthelme.co.uk/csrf-is-dead/
• Ochrona przed Cross Site Scripting (XSS)
  • https://www.troyhunt.com/owasp-top-10-for-net-developers-part-2/
  • XSS w praktyce https://www.youtube.com/watch?v=gZ1mM6OtXIc
  • https://www.troyhunt.com/how-i-got-xssd-by-my-ad-network/
  • https://www.troyhunt.com/understanding-xss-input-sanitisation/
  • MySpace XSS explained https://samy.pl/myspace/tech.html
• Subresource Integrity (SRI)
  • https://www.troyhunt.com/the-javascript-supply-chain-paradox-sri-csp-and-trust-in-third-party-libraries/
• SQL Injection
  • 3 letnie dziecko jest w stanie przeprowadzić atak SQLi - https://www.troyhunt.com/hacking-is-childs-play-sql-injection/
  • https://www.troyhunt.com/owasp-top-10-for-net-developers-part-1/
  • Sqlmap http://sqlmap.org/
• Cross Origin Resource Sharing
  • https://www.html5rocks.com/en/tutorials/cors/
• Zamykać port 80, czy tez nie?
  • https://scotthelme.co.uk/why-closing-port-80-is-bad-for-security/
• Direct Object References
  • https://www.troyhunt.com/owasp-top-10-for-net-developers-part-4/
  • https://zaufanatrzeciastrona.pl/post/jak-kamil-dane-pol-miliona-zamowien-klientow-sklepow-internetowych-znalazl/
• Należy sprawdzać przekierowania
  • https://www.troyhunt.com/owasp-top-10-for-net-developers-part-10/

Hasła

• Zalecenia odnośnie haseł
  • https://www.troyhunt.com/passwords-evolved-authentication-guidance-for-the-modern-era/
• Indykator siły hasła
  • https://www.troyhunt.com/password-strength-indicators-help-people-make-dumb-choices/
  • zxcvbn https://github.com/dropbox/zxcvbn
• Jak powinniśmy przechowywać hasła (zahashowane!) i o ich łamaniu
  • https://www.troyhunt.com/our-password-hashing-has-no-clothes/
• Narzędzia do łamania hashy
  • John the Ripper http://www.openwall.com/john/
  • Hashcat https://hashcat.net/hashcat/
• Dobrze napisany system resetowania hasła
  • https://www.troyhunt.com/everything-you-ever-wanted-to-know/
• “Zapamiętaj mnie” bycie zalogowanym przez dłuższy czas
  • https://www.troyhunt.com/how-to-build-and-how-not-to-build/
• 2FA z Google Authenticator
  • https://stackoverflow.com/questions/5087005/google-authenticator-available-as-a-public-service?noredirect=1&lq=1

Inne

• Raportowanie niebezpiecznych stron (phishing)
  • https://safebrowsing.google.com/safebrowsing/report_phish/?hl=en
• Podatne na błędy strony mogą być wykorzystane na rzecz phishingu
  • https://www.troyhunt.com/the-one-valuable-thing-all-websites-have-reputation-and-why-its-attractive-to-phishers/
• Jak wiele błędów może popełnić jedna strona
  • https://www.troyhunt.com/is-indias-aadhaar-system-really-hack-proof-assessing-a-publicly-observable-security-posture/
• Lista linków Troya Hunta
  • https://www.troyhunt.com/troys-ultimate-list-of-security-links/
• Częste podatności
  • https://www.htbridge.com/vulnerability/common-web-weaknesses/
• Jeszcze jedna prezentacja o atakach
  • https://repo.zenk-security.com/Techniques%20d.attaques%20%20.%20%20Failles/Preventing%20Web%20App%20Hacking.pdf