Magento Application Security. Anna Völkl

Transkript

1 Magento Application Security Anna Völkl

2 Anna Magento Certified Developer PHP seit 2004 Magento seit 2011 IT & Telekommunikation (BSc), IT-Security (MSc) LimeSoda (Wien, AT)

3 Security-Technologie Department of Defense Computer Security Initiative Quelle: (Seite 40)

4

5 Security-Technologie Department of Defense Computer Security Initiative Quelle: (Seite 40)

6 Magento Anwendungsicherheit Logins & Passwörter Admin Backend geschützt SSL installiert

7 Magento Anwendungsicherheit Logins & Passwörter Admin Backend geschützt SSL installiert...und noch viel mehr!

8 Anforderungen Software-Design Programmierung Extensions/3rd Party Außerbetriebnahme Konfigurationsdateien Versionierung & Deployment Software-Lebenszyklus Magento Anwendungssicherheit Datenbank Webserver Dateirechte Updates & Patches Benutzer Login Passwörter Web-Application Firewall Firewall

9 Quelle:

10 Sicherheit Vertraulichkeit Integrität Verfügbarkeit

11 Unsichere Software Keine Zeit Kein Wissen Keine Prioritäten Performance SEO Neue Funktionen

12 Potentielle Angreifer (Organisierte) Kriminalität Defacer Script-Kiddies Verärgerte Mitarbeiter, Entwickler Konkurrenz Der Kunde/Shopbetreiber selbst

13 Interesse?! Zahlungsdaten Kundendaten Eigener Vorteil Mitbewerb schädigen

14 Die häufigsten Risiken von Web-Anwendungen A1: Injection A2: Fehler in Authentifizierung und Session Management A3: Cross-Site Scripting (XSS) A4: Unsichere direkte Objektreferenzen A5: Sicherheitsrelevante Fehlkonfiguration OWASP Top 10, 2013

15 Sicherheitsrisiken für Web-Anwendungen OWASP Top , Quelle: angepasste Version

16 Secure Coding Principles

17 Secure Coding Principles Angriffsfläche verkleinern Jedes hinzugefügte Feature erhöht das Sicherheitsrisiko

18 Secure Coding Principles Sichere Grundkonfiguration Sichere Konfiguration Out of the box Reduktion (wenn erlaubt) durch User/Kunde

19 Secure Coding Principles Least Privilege Aktionen werden mit den geringsten erforderlichen Rechten durchgeführt (User-Rechte, Dateiberechtigungen,...)

20 Secure Coding Principles Fail securely Fail secure vs. Fail safe Die Kunst des Fails

21 Secure Coding Principles Vertraue keinen Services 3rd Party

22 Secure Coding Principles Vertraue keinen Eingaben Überprüfe das Erwartete Erwarte das Unerwartete

23 Secure Coding Principles Vertraue keinen Eingaben Längster Ortsname (einzelnes Wort) Taumatawhakatangihangakoauauotamateatu ripukakapikimaungahoronukupokaiwhenuakit anatahu (Neuseeland, 85 letters)

24 Secure Coding Principles Vertraue keinen Eingaben Längster Ortsname (mehrere Wörter) Krung Thep Mahanakhon Amon Rattanakosin Mahinthara Yuthaya Mahadilok Phop Noppharat Ratchathani Burirom Udomratchaniwet Mahasathan Amon Piman Awatan Sathit Sakkathattiya Witsanukam Prasit (Bangkok, 176 letters)

25 Secure Coding Principles Security by Obscurity Sicherheit durch Unwissenheit?

26 Secure Coding Principles KISS Keep Security simple Einfachheit vs. Komplexität

27 Secure Coding Principles Security-Fehler richtig beheben Die Wurzel des Problems verstehen Weitere Problemstellen identifzieren Tests entwickeln

28 ...und jetzt?

29 Anforderungen Funktionale & nicht funktionale Anforderungen

30 Secure Coding I Neugierig sein - alles hinterfragen Secure Coding Guidelines OWASP Secure Coding Practices Quelle:

31 Secure Coding II Validatoren für Inputs Client Server Erwarteter Input: Whitelist vs. Blacklist Filter Aktion erlaubt? User: Zugriff auf Ressource? Admin: Mage::getSingleton('admin/session')>isAllowed('admin/sales/order/actions/create');

32 Security Testing I PHPSniffer Magento ECG Coding Standard Dependencies: Sensio Labs: check composer.lock

33 Scrutinizer CI Code Climate SensioLabsInsight Screenshot: Screenshot: Security Testing II

34 Kein Zugriff auf.git,.git/config composer.lock Standard /admin Pfad /downloader app/etc/local.xml Logfiles phpinfo.php Datenbank-Dumps: livedb.sql.gz

35 Laufender Betrieb Magento Updates Security Patches Webserver, PHP,... Aktuelle Versionen

36 Aus aktuellem Anlass SUPEE-5344 Magento Community Edition & Enterprise Edition beinhalten SUPEE-5344 Magento Shoplift Bug Tester: Ankündigung: Magento Alert Registry Bild:

37 Hinterlasst euren Code jedesmal ein bisschen sicherer (besser), als ihr ihn vorgefunden habt.