Sicurezza del codice

Comincerò ora una serie di articoli tratti dal libro Sicurezza del Codice, redatto da HOEPLI Informatica.

Questo libro si propone come una guida da cui trarre spunti durante la fase di scrittura e progettazione di applicazioni. La mia attenzione si focalizzerà soprattutto sulle tecniche di attacco e sul controllo delle vulnerabilità delle applicazioni in particolare per specifici linguaggi di programmazione:
•    PHP
•    Javascript
•    Interazioni Ajax

Oltre a questo cercherò di approfondire le metodologie da adottare in caso di attacco avvenuto con successo al fine di contenerne i danni e trarre più nozioni possibili dalla intrusione.

Questa non è una trattazione di sola programmazione, ma tocca vari aspetti e figure IT tra cui:
•    sistemi
•    programmazione e progettazione del software
•    policy di sicurezza non solo a livello di infrastruttura ma anche organizzative

Rispetto alle linee guida fino ad ora adottate durante la stesura degli articoli, con questo argomento non seguirò pari passo il libro, ma scriverò degli articoli spot su determinati argomenti, senza seguire in modo ortodosso il libro.

Apache SSL/TLS – le basi

Il modulo mod_ssl fornisce una interfaccia per le librerie OpenSSL, che forniscono un alto livello di cifratura dei dati utilizzando SSL (Secure Socket Layer)e TLS(Transport Layer Security).

In questa serie di articoli tratteremo nel dettaglio sia le librerie SSL sia il modo in cui apache stesso si interfaccia con questi strumenti che permettono un alto livello di sicurezza nelle comunicazioni.

Per capire SSL è necessario avere una idea di cosa significhi un algoritmo crittografico, una funzione di hash, una firma digitale. Di seguito introdurremo questi concetti grazie a definizioni ed esempi.

Apache – Accorgimenti sulla sicurezza

In questo articolo verranno esposti alcuni accorgimenti per migliorare lo stato di sicurezza del web Server Apache. Alcune di queste dritte sono generali, si applicano a livello di sistema, altre ancora sono specifiche del web server.

Innanzitutto è necessario mantenere aggiornato il pacchetto apache, nuove release potrebbero includere patch di sicurezza importanti.

Ricordiamo che apache viene avviato dall’utente root, per poi passare all’utente definito dalla direttiva User ; è quindi necessario che ogni comando che venga eseguito da root non sia modificabile da un utente che non sia root, e quindi tutti i file di log, i file di avvio del servizio ed i file di configurazione.

Un altro problema viene generato dagli script CGI. Se lo script cgi viene sempre eseguito dal medesimo utente (definito dalla direttiva User), è possibile che in un server multi-dominio, uno script lanciato dall’utente A cancelli tutti i file dell’utente B. In questo caso è necessario utilizzare suEXEC per differenziare gli script eseguiti in diversi domini. Con questo comando si aggancia uno script ad uno specifico utente e si impedisce di fatto l’esecuzione di uno script dannoso come quello indicato in precedenza, nel caso in cui vi sia una corretta divisione delle cartelle e dei permssi. Un altro strumento simile a suEXEC è CGIWrap

Gli script CGI possono essere limitati solo all’interno di determinate cartelle, oppure si può scegliere di renderli eseguibili ovunque sul sistema locale.

Non esistono solo script cgi in grado di gestire contenuti dinamici, ma anche script php, perl python etc..

Per tutti questi strumenti vale il discorso effettuato per CGI

In caso di attacco è sempre vitale controllare il file di Log in modo da riuscire a capire se si è trattato di un attacco e scoprire la vulnerabilità sfruttata, cercando di correggerla.