Riassunti

L'OWASP (Open Web Application Security Project) è un'organizzazione fondamentale per la web security che stila periodicamente la classifica dei 10 rischi più critici per le applicazioni industriali.

1. Classifica 2021 (Principali Rischi)

A01:2021 – Broken Access Control

Si verifica quando non vengono verificati i permessi di accesso alle risorse.

• Scenari: Utilizzo di parametri non controllati in una query (es. cambiare account_id nell'URL per vedere dati altrui) o accesso diretto a URL amministrativi senza privilegi.
• Impatto: L'attaccante può visualizzare, modificare o eliminare dati e compiere azioni non autorizzate.

A02:2021 – Cryptographic Failures

Precedentemente noto come Sensitive Data Exposure.

• Scenari: Crittografia automatica del database che però decifra i dati subito dopo il recupero, permettendo a una SQLi di leggere i dati in chiaro. Mancanza di TLS o uso di algoritmi di cifratura obsoleti.

A03:2021 – Injection

Include SQL, NoSQL, OS e LDAP injection.

• Vettori: Qualsiasi sorgente di dati non fidata (parametri URL, input form, header) che viene interpretata come comando o query.

A04:2021 – Insecure Design

Si concentra sui difetti di architettura. Un'implementazione perfetta non può risolvere un progetto intrinsecamente insicuro.

• Scenario: Un sistema di prenotazione cinema che permette di bloccare centinaia di posti senza deposito, causando perdite finanziarie (Business Logic flaw).

A05:2021 – Security Misconfiguration

Errori di configurazione comuni.

• Scenari: Lasciare applicazioni di esempio o password di default (admin/admin). Directory listing abilitato (permette di scaricare file .class e decompilarli). Messaggi d'errore troppo dettagliati che rivelano versioni software vulnerabili.

A08:2021 – Software and Data Integrity Failures

Relativo al codice e all'infrastruttura che non proteggono l'integrità.

• Scenari: Aggiornamenti firmware non firmati. Deserializzazione non sicura (es. inviare oggetti Java serializzati tra client e server; un attaccante può usare strumenti come Java Serial Killer per eseguire codice remoto).

A10:2021 – Server Side Request Forgery (SSRF)

La gravità aumenta con l'uso dei servizi cloud.

• Scenario: Un attaccante usa il server vulnerabile per scansionare le porte della rete interna o accedere ai metadati dell'istanza cloud (es. IP 169.254.169.254 di AWS) per rubare credenziali IAM.