Programadores que conquistan la seguridad: Serie de aprendizaje y difusión - Exposición de información

"Las palabras imprudentes hunden barcos" fue una frase que se popularizó en Estados Unidos durante la Segunda Guerra Mundial. En Gran Bretaña, se decía: "Las conversaciones descuidadas cuestan vidas". El punto principal del dicho era que hablar descuidadamente sobre información confidencial podía ser escuchado por espías y conducir a consecuencias graves.

El mismo principio se aplica al crear aplicaciones web. Cuando tu aplicación web revela demasiada información, puede facilitar que los atacantes accedan a ella.

En este artículo, veremos qué es la exposición de información, por qué es peligrosa y cómo prevenirla.

Comprender la exposición de información

La exposición de información se refiere a aplicaciones web que revelan datos internos a quienes no deberían verlos. También puede referirse a la exposición de información confidencial de los clientes a través de archivos de registro o la interfaz de usuario. De cualquier manera, los atacantes pueden usar la información que encuentran para atacar tus sistemas o a tus usuarios.

A menudo, el primer paso para un atacante es intentar crear un error dentro de tu aplicación. Una gestión de errores y una configuración de la aplicación web deficientes conducen a la exposición de información mediante mensajes de error. ¿Qué sucede si el atacante crea un error dentro de tu aplicación? Si aparece un mensaje de error técnico que incluye detalles técnicos como un seguimiento de pila (stack trace), has revelado demasiada información. Estos detalles pueden incluir qué base de datos estás utilizando o qué versión del servidor de aplicaciones estás ejecutando.

La divulgación de información confidencial puede ocurrir de otras maneras. ¿Hay campos ocultos en un formulario que contienen información sensible? Los atacantes pueden simplemente ver el código fuente de la página y ver los valores.

En pocas palabras, la exposición de información ocurre cuando los datos que deberían limitarse a quienes necesitan conocerlos se vuelven demasiado accesibles.

Comprender por qué la exposición de información es peligrosa

¿Qué puede hacer un atacante con la información expuesta por la aplicación? Si la información es de naturaleza sensible, un atacante podría robar identidades o credenciales de usuario. Esto podría provocar daños financieros, violaciones de la privacidad y multas regulatorias.

Si un atacante utiliza mensajes de error para obtener información sobre una aplicación, esa información podría utilizarse en un ataque futuro. De hecho, la Guía de pruebas de OWASP tiene una sección completa sobre recopilación de información.

La Guía de pruebas de OWASP fomenta el uso de motores de búsqueda para encontrar información sobre tu sitio web que quizás no pretendías exponer. Por ejemplo, ¿están tus páginas administrativas expuestas a los motores de búsqueda? Utiliza el archivo robots.txt para indicar a los motores de búsqueda que no indexen ciertas páginas. Al mismo tiempo, el archivo robots.txt también puede filtrar información. Las URL confidenciales a veces pueden residir en el archivo robots.txt. Los atacantes descargan el archivo y comienzan a conocer parte de la estructura de directorios del sitio.

Google tiene opciones avanzadas de motor de búsqueda que permiten una inspección profunda de los sitios web. Por ejemplo, puedes buscar en un sitio específico usando la sintaxis "site: <dominio>". Puedes ver páginas en caché que pueden haber sido eliminadas pero que aún residen en una memoria caché de un trabajo de indexación anterior. El uso de diferentes motores de búsqueda, como Bing y DuckDuckGo, puede arrojar resultados diferentes, así que prueba en cada motor de búsqueda qué se revela sobre tu aplicación web.</dominio>

Los encabezados HTTP, los banners del sitio web e incluso los comentarios dentro del código HTML y JavaScript podrían contener información que los atacantes no deberían ver. Los encabezados HTTP pueden revelar servidores de aplicaciones y números de versión. Los atacantes pueden usar esta información para encontrar vulnerabilidades que usar contra esas versiones específicas. Asegúrate de comprender todos los lugares diferentes donde los atacantes podrían encontrar tu información y cómo ocultarla adecuadamente.

Derrotar la exposición de información

La divulgación de información suele ser un problema de configuración de la aplicación web. Muchos servidores de aplicaciones devuelven seguimientos de pila en los mensajes de error de forma predeterminada. Asegúrate de cambiar esta configuración para las aplicaciones en producción y redirigir a una página de error genérica, mientras registras el error para fines de resolución de problemas. Los mensajes de error detallados nunca deben devolverse al navegador del usuario.

Si tienes archivos necesarios para la aplicación que contienen información confidencial, asegúrate de que un control de acceso adecuado garantice que solo la propia aplicación pueda leerlos. Deshabilita el listado de directorios en el servidor y mueve estos archivos fuera del directorio raíz web. Esto evita que los atacantes naveguen hasta el archivo usando el navegador mediante un ataque de recorrido de directorios.

Los registros pueden recopilar información si no se configuran correctamente. Cuando ocurra un error, no registre datos confidenciales como contraseñas, tokens de sesión o información de identificación personal (PII). Si un atacante accediera a los archivos de registro, encontraría un tesoro de información sensible para robar. No registre más de lo necesario; por lo general, basta con un identificador de cuenta, un mensaje de error detallado y, quizás, el método o la operación en la que ocurrió el error. Asuma que los archivos de registro no son secretos y no tendrá la tentación de incluir información confidencial en ellos.

No hunda sus aplicaciones web

¿Realmente podría haber filtrado información al hablar con un amigo, provocando directamente la pérdida de un acorazado en la Segunda Guerra Mundial? Quizás no. Pero, ¿por qué correr el riesgo? Esa es la lección del dicho: "Las palabras indiscretas hunden barcos".

Del mismo modo, no hay razón para exponer el funcionamiento interno de su aplicación web al mundo exterior. No hay motivo para ver números de tarjeta de crédito completos o contraseñas. No hay razón para tener datos PII en los archivos de registro. Así que no lo haga. Consulte nuestros recursos de aprendizaje para obtener más información sobre la exposición de datos.

Mantenga el funcionamiento interno de sus aplicaciones donde debe estar. No hunda sus aplicaciones web.

¿Cree que puede poner fin a la exposición de información ahora mismo? Acepte el desafío, guerrero: [Comenzar aquí]