Найкращі практики для безпеки веб- та мобільних додатків

Цифровий простір ще ніколи не був настільки небезпечним, як сьогодні. Кількість та складність кібератак росте з року в рік, тоді як організації публічного, державного та приватного секторів дуже часто не мають необхідних ресурсів та досвіду для налагодження комплексного захисту. Однією з найбільших проблем залишаються атаки на веб- та мобільні додатки, що можуть скомпрометувати дані в системі, порушити транзакції, чи навіть повність паралізувати бізнес. 

За даними звіту Positive Technologies, в абсолютній більшості випадків (98%) кіберзлочинці мають змогу так чи інакше атакувати користувачів веб-додатків. 91% досліджених веб-додатків зазнав компрометації даних, а у 84% платформ було виявлено вразливості неавторизованого доступу.  

Настав час поговорити про найкращі практики захисту веб та мобільних додатків. Як бізнесу убезпечити свої цифрові інструменти?

Головні загрози для безпеки веб- та мобільних додатків

З чого почати розбір проблем? Ми будемо орієнтуватись на перелік критичних загроз, який публікує проєкт OWASP, присвячений забезпеченню безпеки веб-додатків. Адже здебільшого наведені проблеми актуальні також і для мобільної розробки. 

Востаннє перелік OWASP оновлювався у 2021 році. Розгляньмо, що входить до першої п’ятірки визначених проблем.

Порушений контроль доступу 

Як відомо, авторизація надає користувачу права на виконання певних дій у системі, а також забезпечує підтвердження цих прав. Якщо у цьому процесі є прогалини, виникає критична вразливість, відома як Broken access control, порушення контролю доступу.

В результаті такого порушення користувачі можуть отримати доступ до ресурсів та функцій системи, що не призначені для них. Наприклад, якщо додаток дозволяє пересічному користувачу отримати права адміністратора, це створює величезну прогалину в безпеці, що може привести до викрадення, зміни чи втрати даних. Такі вразливості виникають з різних причин: помилки в конфігурації, помилки IDOR, незахищене управління сеансами тощо. Злочинці без проблем виявляють такі вразливості та застосовують їх собі на користь. 

Криптографічні збої

Криптографія застосовується для захисту чутливих даних під час їх передачі: це можуть бути номери кредитних карток, персональні дані користувачів тощо. Але захист даних може провалитись через фактори на кшталт слабких алгоритмів чи коротких шифрувальних ключів, які полегшують хакерам завдання із дешифрування чутливих даних. 

Інші приклади збоїв криптографії включають ненадійне зберігання паролів, слабку безпеку транспортного рівня, слабкі протоколи SSL/TLS, та незахищені набори шифрів, які можуть зробити додаток вразливим до атак. Через подібні вразливості хакери можуть легко скомпрометувати дані, або влаштувати атаку man-in-the-middle. 

Ін’єкції та скриптинг

Подібні атаки використовують вразливості у перевірці вхідних даних та неадекватну обробку даних. Зловмисники проводять ін’єкції шкідливих даних, такі як SQL-запити, фрагменти коду або команди, використовуючи форми додатків або URL-адреси. Це дозволяє їм отримати доступ до конфіденційних даних, чи навіть маніпулювати роботою додатка, втручатися в транзакції. 

Осі лише деякі різновиди подібних атак: 

• SQL-ін’єкції для атак на бази даних;

• Крос-сайтовий скриптинг (XSS атаки) – ін’єкція у веб-сторінку шкідливого коду, який виконується у браузері користувача і дозволяє хакерам перехоплювати сеанси, красти файли cookie тощо;

• Ін’єкції команд (Command Injection) – хакери інтегрують шкідливі команди у системні команди, що виконуються додатком. Це дозволяє отримувати їм неавторизований доступ до серверів чи певного функціонала;

• LDAP-ін’єкції. Зловмисники маніпулюють LDAP-запитами, які використовуються для автентифікації та авторизації. 

• XML-ін’єкції. Хакери  інтегрують шкідливий вміст у дані XML, отримуючи змогу порушити процес парсингу додатку для отримання доступу. 

• Ін'єкція шаблонів на стороні сервера (SSTI). Зловмисники впроваджують шкідливий код у шаблони на стороні сервера для виконання шкідливого коду. 

Кожна така вразливість може мати величезні наслідки.

Ненадійний дизайн

Це поняття охоплює помилки в програмному дизайні додатків та недоліки в архітектурі, якими можуть скористатися злочинці. Подібні вразливості виникають тоді, коли розробники не можуть оцінити усі потенційні ризики та безпекові загрози на етапі проєктування і технічної розробки продукту. Причиною проблем в дизайні може бути нехтування відповідними практиками й стандартами безпеки заради прискорення розробки, чи з огляду на інші причини.  

Приклад небезпечного дизайну: додаток видає надто ретельні повідомлення та звіти про системні помилки. Це може бути зручно для підтримки, але такими звітами можуть також скористатися й злочинці, що спробують використати діагностичні дані для планування скриптингу та SQL-ін’єкцій. 

Хибна конфігурація безпеки

Вразливості виникають тоді, коли налаштування безпеки додатка визначені недостатньо чітко або розгортаються та підтримуються за замовчуванням. Наприклад, додаток стає вразливим у таких випадках: 

• Перевірка безпеки на будь-якому рівні стека додатків виконана неналежним чином, або дозволи для хмарних сервісів налаштовано неправильно;

• Увімкнені або встановлені непотрібні функції, порти, сервіси, сторінки, облікові записи тощо;

• Не налаштовані належним чином налаштування безпеки в серверах застосунків, фреймворках застосунків (наприклад, Struts, Spring, ASP.NET), бібліотеках, базах даних тощо;

• Облікові записи та їхні паролі за замовченням залишаються ввімкненими та незмінними;

• ПЗ морально застаріло, або не отримало критичних оновлень безпеки. 

Безумовно, це далеко не всі загрози для веб-та мобільних додатків. У переліку OWASP фігурують й інші поширені вразливості: вразливі та застарілі компоненти, помилки ідентифікації та автентифікації, порушення цілісності ПЗ та даних, проблеми ведення журналу безпеки,  підробка запитів на стороні сервера (SSRF) тощо. 

Нікуди не діваються й комплексні загрози кібербезпеки: фішинг та усі його різновиди, ransomware та malware-софт, атаки через ланцюжки постачання ПЗ тощо. Розуміння сутності та масштабів цих загроз допомагає бізнесу належним чином обрати відповідні практики захисту веб та мобільних додатків.

5 практик для кібербезпеки веб- та мобільних додатків

Коло загроз кібербезпеки постійно розширюється. Зловмисники постійно шукають нові вразливості у системах, вдосконалюють методи фішингу та соціальної інженерії, застосовують новітні технології на кшталт ШІ. Тож практики кібербезпеки мобільних додатків мають розвиватися так само швидко й гнучко. Наведімо основні напрямки цього розвитку.

Захист автентифікації та управління сеансами 

Старі системи з логінами та паролями втрачають актуальність. Будь-який сучасний веб- або мобільний додаток має покладатися на захищений механізм входу користувача в систему, що може охоплювати двофакторну автентифікацію, хешування, біометричні перевірки тощо. Вкрай важливо запровадити на сайті надійні та унікальні ідентифікатори сеансів, обмежити час очікування у системі та захистити додаток від CSRF-атак. 

Надійна авторизація 

Архітектура системи має гарантувати, що користувачі можуть отримати доступ лише до тих даних та функціоналу, що дійсно необхідні їм в рамках визначеної додатком користувацької ролі. Вкрай важливо впроваджувати у системі архітектуру Zero Trust, що передбачає відмову від концепції внутрішнього периметра та декларує відсутність довіри до будь-якого облікового запису або пристрою, що працює з додатком. Усі користувачі, пристрої та запити мають проходити додаткову ідентифікацію та авторизацію в системі. 

Валідація вхідних даних 

Це найкращий шлях протидії ін'єкційним атакам, спрямованим на спроби інтеграції шкідливого коду у додаток (наприклад, SQL, JS або HTML-код) через вразливості у формах введення. Аби запобігти таким атакам, важливо налагодити двосторонню валідацію: як на боці фронтенду, так і на боці сервера. Це гарантує, що будь-яка ін’єкція буде перехоплена і відхилена ще до обробки, і не зможе завдати шкоди додатку або його користувачам. 

Дотримання високих стандартів

При розробці та розвитку продукту важливо спиратися на найактуальніші стандарти, фреймворки та рекомендації кібербезпеки: OWASP, ISO 27001, NIST CSF,  PCI DSS, GDPR тощо. Ці гайдлайни містять практично усі необхідні методи захисту веб та мобільних додатків. Їх застосування гарантуватиме використання безпечних патернів програмного дизайну, актуальних технологій та підходів до автентифікації та авторизації користувачів, шифрування та валідації даних тощо.  

Регулярне pen-тестування

Проведення перевірок та тестувань продукту є невід’ємною частиною кібербезпеки. В рамках pen-тестування фахівці можуть взяти на себе роль хакерів та спробувати знайти вразливості в додатку. Така перевірка може проводитись за методом white box (хакеру відомі внутрішні параметри системи), gray box (відомі лише деякі параметри), або black box (параметри невідомі). Ви можете знайти приклад подібного тестування в нашому блозі: ми проводили для нашого клієнта  pen-тестування eCommerce-додатку. 

Ці напрямки та практики кібербезпеки веб додатків можна вважати ключовими, але вони не є вичерпними. Важливо враховувати безліч інших аспектів: навчання персоналу, опанування потенціалу ШІ та машинного навчання, протидія соціальній інженерії тощо. 

Розробіть захищені мобільні та веб-додатки разом з WEZOM

Наша команда вже чверть століття розробляє диджитал-продукти для бізнесу: мобільні та веб-додатки будь-якої складності, корпоративний софт, цифрові екосистеми тощо. Клієнти WEZOM – це логістичні та виробничі компанії, великі ритейлери, енергетичні холдинги, великі забудовники, медичні установи тощо. У всіх цих сферах безпека має визначальне значення, тож ми добре розуміємо, як забезпечити захист мобільних додатків, софту та веб-рішень. 

Наш підхід до проєктів – це кастомна розробка, що будується на найкращих практиках і стандартах проєктування ПЗ. Тож якщо вас цікавлять подібні можливості, ви можете обговорити їх з нашими експертами просто зараз. Створімо надійний та унікальний додаток для вашого бізнесу разом. 

Висновок

Мобільні та веб-додатки залишаються однією з головних цілей для кіберзлочинців. Дослідження свідчать, що критичні вразливості можна знайти практично в будь-якому подібному продукті: порушення контролю доступу, ін’єкції шкідливого коду, криптографічні збої, проблеми з програмним дизайном та налаштуваннями безпеки тощо. Часто організації не мають необхідних ресурсів та досвіду, аби належним чином зміцнити свій диджитал-напрямок. 

То як забезпечити захист веб додатків в таких умовах? Починати варто з пошуку вразливостей та запровадження найкращих світових практик і стандартів кібербезпеки. Чудовим рішенням на цьому шляху для будь-якої організації може стати пошук зовнішнього IT-партнера, який має відповідний досвід і знання. 

FAQ

Якими можуть бути наслідки слабкої безпеки додатків для бізнесу?

Організація, що не приділяє належної уваги кібербезпеці, ставить під удар власні транзакції та чутливі дані своїх користувачів. Наслідки можуть бути непередбачуваними: порушення операцій, компрометація даних, прямі фінансові збитки, втрата репутації та довіри користувачів тощо. 

Які головні вразливості безпеки веб додатків?

Захист веб-додатків найчастіше стикається з такими проблемами як порушення контролю доступу, криптографічні збої, ін’єкції та скриптинг, прогалини в політиці безпеки, помилки у програмному дизайні ПЗ тощо. Методи захисту веб додатків здебільшого фокусуються на виправленні цих недоліків. 

Які головні вразливості безпеки мобільних додатків?

Для мобільних додатків загалом характерні ті ж проблеми, що і для веб-додатків: несанкціонований доступ, атаки на серверну частину, недосконале шифрування тощо. Є й специфічні проблеми безпеки, пов’язані з особливостями мобільних ОС та можливостями смартфонів. Методи захисту мобільного додатку фокусуються на надійній валідації даних та суворому контролі доступу до функцій смартфона.