Ataques em Aplicações WEB

Sabe-se que o fator de importância para qualquer empresa é sem dúvida a informação, pois com a globalização digital toda e qualquer informação da empresa se encontra de forma digital. O meio pelo qual os negócios são desenvolvidos atualmente utilizam a Internet e seus serviços. Este fato faz com que alguns maliciosos fazem usos de vulnerabilidades encontradas na Internet, nos seus serviços e principalmente na infra-estrutura, com o propósito de prejudicar empresas ou não, apenas para diversão ou por atender a curiosidades.
Ataques a grandes sítios não é uma novidade nos dias de hoje, mas recentemente teve-se ataques a alguns sítios internacionais como o Linkedin, eHarmony e Last.fm. Todos os ataques a estes grandes sítios tiveram em comum os seguintes fatores:

• Exploração de vulnerabilidades no armazenamento seguro das credenciais dos usuários
• Exploração de vulnerabilidades da Internet
• Exploração de vulnerabilidades da Infra-Estrutura
• Exploração da vulnerabilidade da Segurança Social

Nestes ataques foram utilizados métodos de proteção, que já foram burlados de acordo com pesquisadores na área de segurança, portanto são métodos vulneráveis de alguma forma. Métodos estes que são:

• SHA1 - Função de Hashing
• MD5 - Função de Hashing 

A grande preocupação das equipes que trabalham com segurança da informação esta relacionada a o que esta sendo realizado pelas organizações para que os usuários de seus sistemas não tenham suas credenciais e consequentemente seus dados expostos por pessoas não autorizadas. A fim de responder esta questão os primeiros passos seriam implantar a Política de Segurança da Informação, a qual será responsável por gerenciar todo processo de fabricação e utilização da informação dentro da empresa, isto vai desde a escolha de tecnologias e processos utilizadas na infra-estrutura até mesmo na definição de regras de acesso a diretórios compartilhados. Outro ponto importante e que esta indiretamente ligado a Política de Segurança é o gerenciamento de risco de toda a empresa, onde deve-se ser mensurado todos os riscos e consequentemente elaborado processos com o objetivo de tratar estes riscos.
A fim de colaborar com os gestores de segurança das diversas empresas que utilizam a Internet em seus negócios a equipe do Mozilla elaborou algumas considerações com relação ao armazenamento de senhas que são:

• Nunca armazene as suas senhas em texto claro
• Tenha muito cuidado a utilizar técnicas de hashing tradicionais - verificar vulnerabilidades
• Senhas tornam-se mais seguras quando são acrescidas de um valor(salt) ao cálculo do hash

A InfoQ Brasil realizou uma entrevista com dois especialistas em segurança para explicar o que acarretou os ataques dos sítios mencionados anteriormente. Veja a entrevista completa em http://www.infoq.com/br/articles/web-seguranca

Abraço,