Considerar (escenario habitual) Usted es propietario de un sitio web de carrito de compras y está alojado en Internet; ahora, su empresa de alojamiento le proporciona una base de datos para almacenar sus datos. Si hablamos de seguridad, lo necesitamos para:
- Protección de archivos y carpetas en el servidor (permisos de acceso).
- Base de datos: asegurando la base de datos con contraseña.
- Programación: Asegurar el carrito de compras (Asegurar la aplicación web).
- Datos en tránsito: asegurando los datos en tránsito como (registro de usuarios, pagos, facturas, etc.) cuando el cliente envía al servidor y cuando el servidor envía respuestas al cliente (formularios, historial de pedidos, perfil de usuario, etc.)
La gran pregunta: ¿cómo garantizar la integridad?
- ¿Determinar el acceso no autorizado que modificó o intentó modificar los datos?
- ¿Determinar el acceso autorizado que intentó o realizó acciones no autorizadas?
- Determinar la integridad de todo el sistema
DB Por ejemplo, los datos que se guardaron en la base de datos como MySQL y MSSQL no están encriptados, se considera seguro en el servidor de DB, también para filas de abrazo, el encriptado disminuye el rendimiento y si el atacante obtiene acceso al servidor de DB, también puede obtener la clave privada.
Archivos y carpetas Consideremos que ciframos todos los archivos que realizan acciones críticas (como Control de acceso, Ahorro de datos, etc.), ahora, de cualquier manera, si el atacante tiene acceso al servidor, puede agregar una línea para enviar todos ($ _POST, $ _SESSION, $ _COOKIE y $ _GET) a un correo electrónico.
Datos en tránsito Considere que SSL está implementado, pero el ataque del hombre en el medio puede obtener una copia del tráfico (esto es posible). ¿Cuántas redes hay entre stackexchange.com y yo ahora? miles! Yo - > Mi ISP (Clientes - > Núcleo - > Routers de borde - > ISP extranjero - > ISP extranjero - > Centro de datos de Stackexchange - > Algunos clúster o cualquier otro modelo - > Stackexchange) ¿Cómo podemos garantizar que los datos entre estas redes no se modifiquen?
¡Sólo ve esta imagen! que actualmente disponible no es solo una idea:
En este punto: estoy preguntando: ¿existe algún mecanismo para mejorar la seguridad de las aplicaciones web que depende siempre de los datos en Transit? Espero obtener algunas respuestas que me transmitan esta tristeza acerca de la seguridad :(