Page 19 - newDATAmagazine | 14>06>2022

O “Desenho Inseguro” é uma das novas igualmente relacionada com a crescente
categorias da mais recente versão do OWASP
Top 10. A ideia que está por detrás desta nova
categoria prende-se com a necessidade de
integração da segurança em todos os
diferentes processos no projeto de
desenvolvimento de uma aplicação segura –
desde o seu planeamento até à sua instalação.
Um desenho inseguro de uma aplicação web
nunca poderá ser corrigido através de uma
implementação perfeita, pois, por definição, os
controlos de segurança apropriados nunca
foram planeados nem desenhados para
garantirem uma defesa adequada contra
ataques aplicacionais específicos.
A próxima categoria é a “Configuração
Insegura”. Esta categoria subiu uma posição
na lista do OWASP Top 10, ocupando o quinto
lugar. Como o desenvolvimento de aplicações
web envolve cada vez mais a utilização de
frameworks e de componentes de software de
terceiros, a configuração apropriada é um
aspeto cada vez mais crítico. O aumento do
n ú m e ro d e c o n fi g u r a ç õ e s a u m e n t a
igualmente a possibilidade da existência de
erros. Estas configurações inseguras podem
incluir aspetos como a ativação de
funcionalidades desnecessárias, a existência
de palavras-passe definidas por defeito e a
desatualização do software ou de frameworks
utilizadas.
Na sexta posição encontramos os
“Componentes Desatualizados e Vulneráveis”.
Esta categoria era conhecida como “Utilização
de Componentes com Vulnerabilidades
Conhecidas” na anterior versão do OWASP Top
10, tendo subido consideravelmente na lista.
De certa forma, esta categoria sobrepõe-se um
pouco à categoria anterior, uma vez que está
utilização de frameworks e componentes de
software desenvolvido por terceiros, na
conceção de uma aplicação web. A utilização
destes componentes faz com que a superfície
de ataque da aplicação web aumente, uma vez
que depende de componentes de software que
foram desenvolvidos por terceiros e que
podem conter vulnerabilidades. Assim, é
importante considerar não apenas a
segurança do código da aplicação em
desenvolvimento, mas igualmente de todos os
componentes dos quais depende.
Seguidamente, temos as “Falhas na
Identificação e Autenticação”. Esta categoria
era anteriormente conhecida como “Quebra na
Autenticação” e desceu de importância nesta
lista. Passou a integrar não apenas as
questões relacionadas com a autenticação,
mas igualmente as que estão relacionadas
com a identificação, como mecanismos
básicos da proteção e controlo de acesso a
dados e outros ativos. Nesta categoria,
incluem-se problemas como a fixação ou
roubo de sessões, a possibilidade de utilização
de palavras-passe fracas, a realização de
ataques de força bruta contra sistemas de
autenticação, assim como a ausência da
u t i l i z a ç ã o d e f a t o re s m ú l t i p l o s d e
autenticação.
“Falhas na Integridade do Software e dos
Dados” é igualmente uma nova categoria do
OWASP Top 10. A categoria anterior,
designada por “Deserialização Insegura”, está
agora integrada nesta, que está focada em
dados críticos, na integridade dos processos
de integração e de desenvolvimento contínuo
(CI/CD) e em mecanismos de deserialização
inseguros.
newDATAmagazine.com 19