Թահա Սմիլին և էթիկական հակերների նոր սերունդն օգտագործում են իրենց հմտությունները `ինտերնետը ապահով պահելու համար


Վերջերս ես նստեցի Taha Smily- ի հետ ՝ կիբերանվտանգության անկախ հետազոտող, խոսելու այն դերի մասին, որը նա և էթիկական հակերների նոր սերնդի մյուս անդամները խաղում են կայքերն անվտանգ պահելու գործում:.

Contents

Խնդրում եմ, պատմեք մի փոքր ձեր մասին և այն մասին, թե ինչպես եք ներգրավվել կիբերանվտանգության հետազոտության մեջ.

Իմ անունն է Taha Smily; Ես Անվտանգության անկախ հետազոտող և ծպտոմոգրաֆիայի վերլուծաբան եմ Մարոկկոյից. Ես ինքս եմ դասավանդում մի քանի ծրագրավորման լեզուներով (HTML, PHP, JavaScript, CSS և python), գաղտնագրման, ինչպես նաև հիմնական ցանցի, ստեգոգրաֆիայի և դատաբժշկական փորձագիտության մեջ: Ես նաև «Capture the Flag» նվագարկիչ եմ.

Ես աշխատում եմ Open Bug Bounty հարթակում, որտեղ Տարբեր կայքերում ես հայտնաբերել եմ մոտ 3000 խոցելիության դեպքեր որից հետո ես հայտնում եմ կայքերի տերերին: Իմ աշխատանքի արդյունքում ես գտնվում եմ մի քանի խոշոր ընկերությունների և կազմակերպությունների փառքի սրահում, ներառյալ Microsoft- ը, Apple- ը, Nokia- ն, Pivotal- ը և Cert-Europe- ը:.

Որո՞նք են ձեր վերջին անվտանգության նախագծերը?

Ներկայումս ես ներգրավված եմ անվտանգության մի քանի նախագծերում, ներառյալ վեբ-սերվերի փորձարկման գործիքների մշակումը: Լրացուցիչ, Ես նոր եմ ավարտել «Վեբ կայքերի անվտանգության մեթոդաբանությունը» գրքի հեղինակները որը շուտով կհրապարակվի.

Դուք նաև «անվտանգության խոցելի խրախճանքի որսորդ եք». Ի՞նչ է դա նշանակում?

Անվտանգության խոցելիության առատաձեռն որսորդները բարոյական հակերների նոր սերունդ են, որոնք ընկերություններին օգնում են հայտնաբերել և շտկել իրենց անվտանգության սխալները.

«Bug Bounty» – ը գործարքն է, որն ընկերությունները առաջարկում են ինձ նման բարոյական հակերներին ՝ անվտանգության սխալները հայտնաբերելու դիմաց:. Այս վրիպակների մեծածախ ծրագրերը վճարում են այդ հայտնագործությունների համար մասշտաբով `սխալի խստությանը համամասնորեն.

Ո՞րն է openbugbounty.org պլատֆորմը և ինչպես է այն գործում?

Open Bug Bounty պլատֆորմը ստեղծվել է անվտանգության մի խումբ անկախ հետազոտողների կողմից 2014 թվականի հունիսին. Այն շահույթ չհետապնդող հարթակ է, որը նախատեսված է միացնելու անվտանգության հետազոտողներին և կայքերի սեփականատերերին թափանցիկ, հարգալից և փոխադարձ արժեքավոր ձևով: Մեր նպատակն է համացանցը բոլորի համար ավելի անվտանգ տեղ դարձնել.

Մենք որևէ ֆինանսական կամ առևտրային հետաքրքրություն չենք ունեցել նախագծի նկատմամբ: Ավելին, մենք մեր գրպանից վճարում ենք հոստինգի և վեբ զարգացման ծախսերը և մեր գիշերները անցկացնում նոր ստուգումներ հաստատելու վրա.

Ինչպե՞ս եք որոշում, թե որ կայքերը փորձեն անվտանգության թերությունների համար?

Ես սիրում եմ փորձարկել հանրաճանաչ կայքեր և կայքեր, որոնք կարող են թվալ ուժեղ և անվտանգ. Իհարկե, ինձ հատկապես հետաքրքրում է այն կայքերը, ովքեր մտահոգված են իրենց անվտանգությամբ և նրանց, ովքեր առաջարկում են դրամաշնորհներ.

Դուք դա անում եք զվարճանքի կամ շահույթի համար?

Ես դա անում եմ զվարճանալու համար, քանի որ վայելում եմ նոր մարտահրավերներ, բայց, այո, նաև շահույթի համար!

Ընկերությունների մեծամասնությունը գնահատելի եք համարում, երբ հաղորդում եք խոցելիության մասին?

Այո Տեղեկատվության և անձնական տվյալների անվտանգությունն ու պաշտպանությունն այս օրերին մեծ մտահոգություն է առաջացրել ընկերությունների համար.

Որո՞նք են ամենատարածված խոցելիությունները, որոնց բախվում եք?

Ամենատարածված հարցերը, որոնք ես տեսնում եմ, խաչմերուկի սցենարիզացիա (XSS), խաչմերուկների հարցման կեղծիք (CSRF) և ենթադոմեյնի տիրապետում են:.

Խաչմերուկի սցենար (XSS) այն դեպքում, երբ չարամիտ գրությունները ներարկվում են այլապես բարորակ և վստահելի կայքերում: Այս գրոհները, ընդհանուր առմամբ, զննարկչի կողմնակի սցենարի տեսքով են և կարող են մուտք գործել զննարկչի կողմից պահպանված և օգտագործված ցանկացած կայքի կողմից օգտագործվող cookie- ներ, նստաշրջանի նշաններ կամ այլ զգայուն տեղեկատվություն: Այս գրությունները կարող են վերաշարադրել նույնիսկ HTML էջի բովանդակությունը.

Խաչմերուկների հարցման կեղծիք (CSRF) հարձակում է, որը վերջնական օգտագործողին ստիպում է անցանկալի գործողություններ կատարել այն վեբ հավելվածի վրա, որի ժամանակ դրանք վավերացված են: Չնայած տվյալների իրական հափշտակությանը, CSRF- ի հաջող գրոհը կարող է ստիպել օգտագործողին կատարել պետական ​​փոփոխվող պահանջներ `ֆոնդերի փոխանցում, էլեկտրոնային փոստի հասցեն փոխելու և այլն: Եթե ​​տուժողը վարչական հաշիվ է, CSRF- ն կարող է փոխզիջման ենթարկել ամբողջ վեբ դիմումը.

Ենթադոմեյնի տիրապետում խոցելիության տեսակ է, որը հայտնվում է այն դեպքում, երբ կազմակերպության DNS մուտքը (ենթադոմեն) մատնանշում է արտաքին ծառայությանը, բայց ծառայությունն այլևս չի օգտագործվում: Հարձակվողը կարող էր գրանցվել արտաքին ծառայության և պահանջել տուժած ենթահող: Արդյունքում, հարձակվողը կարող էր հյուրընկալել վնասակար կոդ (օրինակ ՝ HTTP բլիթները գողանալու համար) կազմակերպության ենթակայության վրա և այն օգտագործել օրինական օգտագործողների վրա հարձակվելու համար.

Որո՞նք են ձեր կողմից տեսած ամենալուրջ խոցելի թերությունները?

Ինձ հետ հանդիպած ամենալուրջ խոցելի կողմերը SQL ներարկումն են ՝ շտեմարանների շտեմարանների թողարկման և կոդերի հեռավոր իրականացման համար.

SQL ներարկում կոդերի ներարկման մեթոդ է, որի միջոցով փչովի SQL հայտարարությունները մուտքագրման դաշտ են մուտքագրվում կատարման համար `տվյալների բազայի պարունակությունը հարձակվողին գցելու համար:.

Հեռավոր կոդերի իրականացում հարձակվողի հնարավորություն է հարձակողական ընտրության ցանկացած հրաման կատարել թիրախային մեքենայում կամ թիրախային գործընթացում: Դա ամենաուժեղ սխալներից մեկն է, քանի որ այն թույլ է տալիս հարձակվողին ամբողջովին ստանձնել խոցելի գործընթացը: Այնտեղից հարձակվողը կարող է լիովին վերահսկել մեքենայի վրա, որի ընթացքն ընթանում է, ինչը թույլ է տալիս չարամիտ համակարգչին աշխատել առանց սեփականատիրոջ համաձայնության.

Որպես կիբերանվտանգության գիտաշխատող ձեր փորձից `ի՞նչ խորհուրդ կարող եք առաջարկել այսօրվա ծրագրակազմ մշակողներին?

Ամենակարևոր խորհուրդը, որը ես կարող եմ տալ, դա է համահունչ պահեք անվտանգության բացթողումները և տեղեկատվական անվտանգության ոլորտում վերջին թարմացումները. Բացի այդ, շատ կարևոր է աշխատել կիբերանվտանգության ոլորտում հետազոտողների հետ աշխատելու համար ՝ անվտանգության նկատառումներից որևէ մեկը հայտնաբերելու և ամրացնելու համար, նախքան ապրանքները հանրությանը հանելը.

Որտե՞ղ եք տեսնում ապագայում ծրագրային ապահովման անվտանգության ուղղությունը?

Ծրագրային ապահովության հետ կապված իրական խնդիրը նույնիսկ ավելի խորն է, քան կարելի է լուծել լավագույն փորձի և մասնագիտացված լեզուների միջոցով. ՕՀ-ի մակարդակից ծրագրային ճարտարապետության ամբողջական վերափոխում, հավանաբար, անհրաժեշտ է, որպեսզի համակարգային խնդիրները լուծի իրերի ինտերնետով և դրանից դուրս:.

Kim Martin Administrator
Sorry! The Author has not filled his profile.
follow me
    Like this post? Please share to your friends:
    Adblock
    detector
    map