Storing in bedrijfsprocessen gezien Het stellen van beveiligingsrisico's

Een veilige website uitvoeren betekent meer dan alleen waken tegen cross-site scripting en SQL-injectie-aanvallen. Gebreken in de bedrijfsprocessen die ten grondslag liggen aan websites kunnen ook ernstige beveiligingsrisico's met zich meebrengen, zei de CTO van een internetbeveiligingsbedrijf donderdag.

Gebreken in de processen of bedrijfslogica voor websites kunnen zeer winstgevend zijn voor hackers, vereisen weinig vaardigheden om te exploiteren en zijn soms technisch niet illegaal om van te profiteren, zei Jeremiah Grossman, CTO van WhiteHat Security, tijdens de Source Boston Security Showcase. "Deze problemen komen vaak voor als je weet waar je op moet letten", zei hij.

[Meer informatie: Hoe malware van uw Windows-pc te verwijderen]

Hij bood verschillende voorbeelden van deze tekortkomingen, waaronder die gevonden in website-ontwerpen, Captcha-authenticatiesystemen en gebruikersprivileges. Mensen die hiervan profiteren, worden vaak simpelweg verbannen van het gebruik van een service, hoewel ze soms worden vervolgd.

In 2007 werd een vrouw beschuldigd van het oplichting van QVC van US $ 412.000 door misbruik te maken van haar bedrijfslogica. Ze plaatste bestellingen voor 1800 items bij het thuiswinkelnetwerk en annuleerde vervolgens de bestellingen op haar website. Ze kreeg krediet voor het retourneren van de koopwaar, maar de items werden toch naar haar gestuurd en ze verkocht ze op eBay, zei het ministerie van Justitie. QVC werd zich ervan bewust dat eBay-gebruikers contact opnamen om items te ontvangen die nog in de verpakking zitten. De vrouw pleitte uiteindelijk schuldig om fraude te plegen.

De functies voor het resetten van een wachtwoord kunnen leiden tot ongeoorloofde accounttoegang als ze duidelijke vragen stellen en hackers kleine stukjes informatie over hun slachtoffers hebben. Grossman bood een voorbeeld met betrekking tot de voormalige mobiele serviceprovider Sprint. Om zijn wachtwoorden te resetten, zei hij, moest een hacker alleen het mobiele telefoonnummer van een persoon weten en een basisinformatie, zoals waar ze woonden of de auto die ze bestuurden. Dit had een hacker de mogelijkheid gegeven om nieuwe telefoons op naam van het slachtoffer te bestellen of nieuwe services op zijn telefoon te installeren.

E-coupons vormen een risico voor verkopers als de couponnummers elkaar na elkaar naderen. Een retailer zag een aantal van zijn dure artikelen voor een paar dollar verkopen nadat een hacker een script had geschreven om couponnummers te achterhalen die slechts een paar cijfers verschilden, zei Grossman. De retailer ontdekte het probleem toen in de systeemlogs een overvloed aan bestellingen werd onthuld die 's nachts werden verwerkt terwijl het hackerscript liep.

Hackers kunnen andere internetgebruikers overtuigen om Captcha-tests voor hen op te lossen door ze naar websites te lokken met de belofte van gratis muziek of inhoud voor volwassenen. Bij Captchas moet iemand een reeks verwarde tekens ontcijferen om zich aan te melden voor diensten zoals een e-mailaccount op het web. De websurfers lossen de Captchas op, die via een proxyserver naar de hacker worden verzonden, die ze vervolgens gebruikt om zich aan te melden voor meerdere e-mailaccounts voor het verzenden van spam of een andere activiteit.

"Zolang u genoeg gebruikers hebt aankomen op uw website heeft u de Captcha opgelost ", zei Grossman. "Slecht guys willen deze Captchas verslaan, zodat ze ons kunnen spammen."

Een ander minpunt is dat gebruikers toegang krijgen tot alle delen van een website wanneer ze een login of wachtwoord hebben voor een bepaalde service daar. Werknemers bij een Estse firma meldden zich bijvoorbeeld in 2004 aan voor de persservice van Business Wire. Het kwam tot de conclusie dat URL's op de site soms informatie bevatten over nieuwsberichten die nog niet openbaar waren gemaakt. Met behulp van een programma dat zoekt naar URL's, konden de werknemers van het bedrijf gevoelige bedrijfs- en financiële informatie ontdekken. Na het kopen en verkopen van aandelen op basis van deze informatie, verdienden de werknemers 7,8 miljoen dollar, maar werden ze ook getroffen door fraude door Amerikaanse toezichthouders. Hij merkte op dat er waarschijnlijk veel vergelijkbare gevallen zijn geweest die nooit aan het licht kwamen omdat de daders nooit gepakt.

Webbeveiliging gaat verder dan kwaliteitsgaranties en het juist ontwerpen van webapplicaties om aan te geven hoe de services zijn ingesteld om te werken, zei hij.