Bezpečnostní manažeři pro IT čelí neustále se měnícím a stále důmyslnějším hrozbám. Například ještě docela nedávno byla téměř veškerá pozornost v oblasti bezpečnosti na internetu soustředěna na perimetr sítě. V současnosti je však třeba věnovat pozornost mnohem rozsáhlejší oblasti. Základní internetové služby (e-mail, FTP, HTTP a telnet) jsou dnes obklopeny plejádou dynamických webových aplikací, serverů a databází, které jsou dostupné čtyřiadvacet hodin denně, sedm dní v týdnu.Tyto aplikace vytvářejí infrastrukturu digitální ekonomiky, což z nich činí velmi atraktivní cíle pro hackery. Internetová bezpečnost, která přerostla oblast síťové vrstvy, dnes vyžaduje specifická opatření pro ochranu perimetru sítě, vnitřní bezpečnost a bezpečnost webových aplikací.







Se vzrůstajícím počtem webových aplikací rostou také potenciální bezpečnostní rizika a vzrůstají požadavky na komplexní zabezpečení. Skupina OWASP (Open Web Application Security Project), která se zaměřuje na pomoc organizacím při identifikaci bezpečnostních hrozeb webových aplikací, rozlišuje několik typů zranitelností, kterých mohou útočníci využít. Deset nejzávažnějších zranitelností webových aplikací podle skupiny OWASP je seznam aktualizovaný pro rok 2004 (Ten Most Critical Web Application Security Vulnerabilities: 2004 Update), který by si měl každý bezpečnostní manažer prostudovat (dokument v původním znění najdete na stránkách www.owasp.org/documentation/topten). Seznam popisuje deset zranitelností, či bezpečnostních nedostatků, ke kterým se váže nejvíce úspěšných útoků po internetu. Seznam je zaměřen na zranitelnosti na úrovni kódu aplikací. Snížení rizik pramenících z těchto nedostatků a zranitelností obvykle vyžaduje celou řadu nástrojů a technik, které jsou navíc založeny na různých technologiích. V tomto dokumentu je popsán přístup, jak lze těmto hrozbám čelit. Popisované metody (vždy pod mezititulkem Řešení) se dále odvíjejí od jednoho typu přístupu k problému, kdy webové aplikace před potenciálním útokem chrání centralizovaný řídicí bod spolu se speciálně vyvinutou firewallovou technologií pro webové aplikace.

1. Neověřený vstup (unvalidated input)
Shrnutí
Webové aplikace používají vstup z požadavků HTTP pro určení toho, jak na ně reagovat. Informace HTTP lze zakódovat mnoha různými způsoby. Velice často nejsou webové požadavky ověřeny před tím, než jsou použity webovou aplikací. Útočníci tak mohou zfalšovat libovolnou část HTTP požadavku - včetně např. URL, vyhledávacího řetězce nebo záhlaví - a pokusit se tak obejít zabezpečovací mechanismy webových aplikací.

Hrozby
Tato zranitelnost ohrožuje většinu webových aplikací a webových serverů. Většina webových aplikací vyžaduje nějaký vstup od uživatele. Dále je většina webových aplikací založena na vícevrstvé (multi-tier) architektuře, vlivem čehož je velice obtížné předvídat, jak bude vstup uživatele zpracován na jednotlivých vrstvách. Útočníci tak mohou zneužít této slabiny k útoku na koncové komponenty webové aplikace.

Řešení
Pro ověření vstupu jsou používány dva základní způsoby. Jeden představuje firewallová technologie znalá standardů a běžného chování aplikací, která ověřuje shodu s protokolem a nastavením aplikace. Druhým je firewallová technologie pro webové aplikace hledající podezřelé struktury v požadavcích HTTP a parametrech. Pro spolehlivé ověření parametru jsou použity oba způsoby. Specifická ochrana proti útoku pak má následující složky:
· Firewallová technologie pro webové aplikace ověřuje, zda jsou požadavky a odpovědi HTTP platné podle HTTP RFC.
· Útoky typu SQL injection (vložení SQL) a command injection (vložení příkazu) jsou blokovány vyhledáváním klíčových slov. Klíčová slova jsou sledována v polích formuláře, a to jak v požadavcích metodou GET, tak v požadavcích POST v rámci URL nebo těla požadavku HTTP. Seznamy klíčových slov jsou předkonfigurovány a jediné, co musí uživatel udělat, je nastavit úroveň zabezpečení na high/medium/low (vysoká/střední/nízká). Je-li nastavena vyšší úroveň zabezpečení, jsou analyzována také klíčová slova s menší pravděpodobností útoku.
· Blokování URL je prováděno prostřednictvím technologie streamingu na úrovni jádra, která umožňuje uživateli určit, která umístění souborů mají být blokována. Je také možné určit a blokovat specifické metody HTTP.
· HTTP požadavky, které obsahují nejen znaky ASCII, jsou omezeny, čímž je zabráněno vložení škodlivého kódu do záhlaví požadavku či polí formuláře.

2. Narušení kontroly přístupu (broken access control)
Shrnutí
Problém spočívá v nedostatečném zajištění přístupových práv uživatelů. Útočníci mohou odhalením nedostatků získat přístup k účtům jiných uživatelů, citlivým souborům nebo kritickým funkcím.

Hrozby
Každá webová aplikace má své autorizační schéma, ať už implicitní, nebo explicitní. Protože tato schémata lze obvykle snadno vytvořit, lze celou řadu z nich poměrně lehce obejít. Mezi nejčastější problémy patří techniky průniku do adresářů (directory traversal), výchozí práva k souborům a nezabezpečená uživatelská jména a hesla.



Řešení
V kombinaci s dalšími zabezpečovacími metodami poskytuje firewallová technologie pro webové aplikace ochranu proti slabinám, které umožňují autorizovaným uživatelům získat další nezabezpečená přístupová práva. Může se jednat o některý z následujících příkladů:
· Ochrana před průnikem do adresářů - zajišťuje normalizaci cesty URL a jména hostitele tak, aby bylo zabráněno různým útokům typu průnik do adresářů (directory traversal).
· Dekódování - zajišťuje, že URL jsou kanonizována a normalizována před vynucením pro všechny typy kódování. Tento proces zabraňuje útokům "úhybnými manévry", které mají zajistit, že ochrana použitou techniku neodhalí.
· Vynucením platnosti protokolu HTTP zabraňuje průnikům na úrovni protokolu - tj. například takovým, kdy se uvnitř URL napíše nulový znak, čímž je oklamán autentizační mechanismus založený na URL.

3. Porušení správy účtů a relací (broken account and session management)
Shrnutí
Slabá ochrana uživatelských údajů sloužících k přihlášení a údajů identifikujících relaci představuje další slabé místo popisované skupinou OWASP. Útočníkům je umožněno získat hesla, klíče, cookies relací a další informace, které jim umožní obejít autentizační a restrikční mechanismy a získat cizí identitu.

Hrozby
Autentizace je jednou z částí procesu webového zabezpečení. I silné autentizační mechanismy však lze obejít, je-li správa přihlašovacích údajů slabá. Zajištění konsistentního a silného zabezpečení autentizace přes různé platformy může být značně složité a nemusí být shodné pro různé aplikace. Vyvstává zde tedy potřeba takového autentizačního procesu, který nebude součástí samotné webového aplikace. Správa aktivních relací vyžaduje silné identifikátory, které nelze uhodnout, odposlechnout či zachytit.

Řešení
Nabízí se hned několik řešení pro zabezpečení uživatelských jmen, hesel a relací webových aplikací. Jedním z těchto řešení je kombinace firewallového a VPN řešení s podporou více autentizačních schémat a technikami pro uložení hesel a uživatelských jmen (včetně LDAP, Windows, Radius, Citrix, SecureID apod.) umožňující bezpečné zašifrované uložení údajů o uživateli.

4. Zneužití serveru k odesílání skriptů (cross-site scripting - XSS)
Shrnutí
Webových aplikací lze zneužít jako mechanismu k přenosu útoku na prohlížeč koncového uživatele. Úspěšný útok může vést k vyzrazení přihlašovacích informací koncového uživatele, útoku na jeho počítač či zfalšování obsahu webové stránky k oklamání uživatele.

Hrozby
Vývojáři webových aplikací si tuto slabinu často neuvědomují, a tudíž neprovádějí žádné ověření vstupu, které by mohlo tomuto zneužití zabránit. Slabé místo vznikne tehdy, je-li vstup uživatele zahrnut do HTML stránky odeslané jinému uživateli. Vložením škodlivého kódu do HTML může útočník spustit na napadeném počítači kód v jazyce JavaScript. Možnosti skriptovacích jazyků jsou sice omezené, avšak postačující k získání údajů o uživateli.

Řešení
Předpokládáme, že centralizovaný řídicí bod a firewallová technologie účinně chrání webové aplikace. Není-li možné vložit kód skriptu do webové aplikace, není možné poškodit koncového uživatele. Tento přístup je rozhodující, protože jakmile je jednou skriptový kód odeslán na webový server, není možné rozlišit škodlivý kód od legitimního kódu, který je součástí webové aplikace. Firewallová technologie pro webové aplikace umožní správcům tři úrovně odmítnutí skriptu (vysoká, střední a nízká). Obezřetný přístup je zamítnout veškeré HTTP požadavky obsahující znaky "<" nebo ">" (střední úroveň). Nedostatkem tohoto přístupu však je, že mohou být odmítnuty i stránky obsahující neškodné tagy jako např.