Analisi della Sicurezza Web
La Web Security non è un campo definito in modo rigoroso come la ricurezza
crittografica. La sua natura è quella di “bersaglio mobile”, poiché non esiste una
soluzione definitiva e permanente. La sicurezza pratica delle applicazioni web dipende
da una complessa interazione di fattori, tra cui:
Dettagli standard di rete;
Specifiche di implementazione;
Versioni concrete di browser e server.
Fondamenti del protocollo http
L’Hyper Text Protocol (http) è il protocollo a livello applicativo che gestisce il
trasferimento di richieste ed informazioni ipertestuali tra client (il browser) ed il server.
Architettura Client-Server: Il client (utente) avvia sempre la comunicazione,
navigando tramite URL e inviando richieste. Il server risponde consegnando i
dati richiesti;
Protocollo stateless: http è intirinsecamente “stateless”, ovvero non
mantiene memoria delle sessioni o delle richieste precedenti;
Metodi HTTP: I metodi principali per le richieste sono GET (richieste di una
pagina) e POST (invio di dati con un “playload”, o corpo della richiesta);
Contenuto statico vs contenuto dinamico: Il server può fornire dati statici
(pagine HTML, immagini) oppure dinamici, ovvero calcolati su richiesta da
un’applicazione web. Questo calcolo può avvenire:
oServer-Side: Tramite script come Perl, ASP, JSP,
oClient-Side: Tramite script eseguiti nel browser, come JavaScript, Flash o
Applet.
Architettura a tre livelli (three-tier): Le applicazioni web moderne seguono
spesso un’architettura a tre livelli: Presentation (1st tier) (il client/browser),
Business Logic (2nd tier) (il web server/application server) e Backend (3rd
tier) (tipicamente i database).
GET vs POST
Sebbene entrambi i metodi inviino dati, la loro gestione ha implicazioni di sicurezza
critiche:
GET: i dati vengono accodati all’URL (es. ...?name=blah&type=1). Questo
espone informazioni sensibili:
oNei log del web server e dei proxy;
oNell’header HTTP Referer (quando si clicca un link verso un altro sito);
oNei segnalibri (bookmarks) e nella cronologia, che possono essere
facilmente condivisi.
POST: I dati vengono inseriti nel corpo della richiesta HTTP, non nell’URL.
Per il trasporto di dati sensibili, è imperativo utilizzare HTTPS (http su SSL/TLS) e il
metodo POST.
