La familia digital Bienvenidos a esta clase, vamos a ver el top 6 dentro del top ten de Worms Mobile
y en que este caso vamos a está hablando de la autorización insegura.
A qué nos referimos con esto?
No voy a compartir la pantalla para que lo analicemos juntos.
Efectivamente, también en pantalla y acá dice autorización inseguras muy parecida a M-4, que es auto
autenticación y segura autorización autenticación.
Quizá a algunos les pudo haber parecido que se repitiera la clase, pero no es autenticación.
Autorización.
Muy parecida a nivel 4, pero relacionada con roles y permisos.
Y en este factor acá tenemos a nivel de desarrollo ñames a nivel seguridad y aplicación para hablar
muchísimo en realidad.
Pero vamos a la diapositiva que les preparé.
Como bien les puse acá, tiene una relación con la vulnerabilidad de número 4, pero cambio.
Estamos hablando justamente de Messi y conseguir elevar los privilegios o ingresar con los mismos.
En este caso estamos viendo que los permisos otorgados a usuarios en su efecto, dichas permisos pueden
estar de forma predeterminada y no se cambian.
A qué me refiero?
Vamos a aprovechar y vamos a relacionar el tema inclusive con seguridad informática en la nube, donde
por ejemplo en Amazon Web Services, cuando nosotros damos roles en el general de los casos viene en
forma predeterminada privilegios de Ruth, cosa que si no se no se o configuración predeterminada en
relación a los privilegios de Ruth.
Y si nosotros no modificamos o no estamos atentos a esto, que una de las primeras cosas que dice la
certificación de Amazon o es Harris es un prolongaban problema de vulnerabilidad.
Por eso acá no es solo el poder conseguir llámese escalar privilegios a través de la explotación de
alguna vulnerabilidad en la aplicación, lo cual también es viable.
Eso está sujeto también a determinado 0 days o al análisis exhaustivo del código de las versiones de
lo que se esté utilizando en la aplicación y en cada situación uno analizará qué se puede explotar.
Resulta sujeto netamente a la práctica.
Pero lo que a mí me interesa volcarla a Uds. en la práctica, en lo que deben prevenir o asesorar en
materia de seguridad.
Cuando hablamos de aplicaciones móviles a en una empresa de desarrollo son cosas como las que les acabo
de mencionar de Amazon Web Services.
Lo mismo deberían estudiar si estamos hablando de Gero, Oku, Assur, etcétera.
Justamente una de las cosas que lo primero que deben de estar haciendo ustedes como recomendación a
nivel código en cada página 7 está usando variables de sesión o la técnica que ustedes quieran siempre
es estar validando de manera constante que se están ejecutando los permisos que en un principio se asignaron
e el rol que se lo dio a través del login también.
Esto tiene mucho que ver con el aspecto de cuando utilizamos claves o permitimos claves inseguras,
como lo hemos visto en la batería.
Y es que realmente esto lo repito porque la gestión de claves así como lo habla inclusive la la ISO
27000 uno que caminabamos en secciones más adelante, es fundamental en materia de seguridad porque
es una de las brechas principales de explotación o no hablamos de capa 8.
Justamente utilizar claves sin claves, débiles, insegura o inclusive como también les he mencionado
antes con las API.
Pero acá hay una recomendación especial que les debo a dar y también un factor que deben tener en cuenta
porque es muy común y esto lo podemos ver reflejado cuando en el usuario cotidiano, en la computadora,
en donde muy comúnmente, dependiendo de lo estrictos que sean a nivel seguridad, uno le da los privilegios
de administrador, inclusive desde el área de sistemas para decir bueno, que no me siga molestando
más, que no me llame más, tomar privilegios de administrador y manejarte.
Bueno, acá pasa algo muy similar cuando hablamos de los permisos en una aplicación, y es que justamente
muchas veces se terminan dando privilegios a personas que no los deben de tener por equis razones y
eso es gravísimo y lamentablemente eso se logra con capacitación y ponerse estrictos o inclusive para
colocarnos en el contrato de la que ustedes.
Desarrolladores de la aplicación o ustedes como auditores de la seguridad, no se responsabilizan por
la asignación de permisos a usuarios que no corresponda.
También acá tiene que ver justamente con lo que les muestran en el último renglón de la diapositiva
el tema de las contraseñas, porque justamente si un usuario no utiliza una cuando se segura o utiliza
la misma contraseña para todo un un compañero de trabajo o un tercero, puede predecir adivinar la contraseña
a raíz de conocer alguna otra que se haya vulnerado en otra aplicación y por efecto colateral, por
una mala práctica repercuta en su aplicación.
Por eso también acá, como a nivel consejo algorítmico de lo que pueden implementar, que es muy útil
que cuando un usuario, sobretodo cuando hablemos de privilegios críticos sobre ese administrador o
si éste es torería o facturacion, por ejemplo, agregarle el plus de esta medida de seguridad de si
un usuario, si el usuario se está guiando desde una IP distinta o un dispositivo distinto al que se
venía flojeando y que sea una medida de seguridad que le avise por correo electrónico al usuario, que
alguien sea logueado con su cuenta de un dispositivo, una IP distinta.
Ni hablar de si es de un país diferente al que se suele conectar de esa manera le están dando una gran
herramienta de protección al usuario.
Y también algo fundamental que esto yo siempre lo recomiendo es una auditoría.
Implementar auditorías en el sistema.
De esa manera deja un registro de IP, dispositivo y usuario que sea logueado en un horario y qué acciones
ha tomado y que ni hablar.
Siempre exista un respaldo en la información que se pueda eliminar para siempre poder hacer un rollback
en su defecto en la base de datos y restaurar la información.
Estas son las buenas prácticas que recomiendo que primero yo les puedo recomendar en base a mi experiencia.
En realidad esto no lo van a encontrar escrito en ningún lado, a lo que se hace referencia a la autorización
insegura.
Estamos hablando de un top que habemos dicho si top 6 de vulnerabilidades más frecuentes que se suelen
encontrar.
O sea que no es que esto no suele suceder, al contrario, al parecer sucede de una forma mucho más
frecuente de la que uno puede llegar a ser consciente.
Así que espero que les haya gustado la clase.
Les dejo un abrazo, digita.