¿No es seguro proporcionar datos de autenticación para otras aplicaciones web?

2

Comencé a trabajar en una empresa cuyos ingenieros de software intentaron reinventar todo. No utilizaron (ni conocieron) estándares de la industria y, para la autenticación, utilizan su solución personalizada. Su "solución" me parece muy insegura pero no puedo probarlas.

Su solución de inicio de sesión único es así. Tienen una aplicación web (portal), todos los usuarios autentican el portal con nombre de usuario y contraseña. Cuando desean acceder a otras aplicaciones web de la empresa, tienen que hacer clic en Urls en el portal que apunta a otros sitios web. El portal agrega una cadena de consulta a las URL.

La cadena de consulta incluye datos secretos generados a partir de contraseñas que se encuentran en la base de datos compartida. Cuando la página de inicio de sesión de otras aplicaciones web acepta esas cadenas de consulta, descifra los datos secretos y los compara con las contraseñas en la base de datos. Si esos valores son iguales a los de la aplicación web remitida autenticar al usuario. Usan sus propias reglas de autorización por aplicación. Dicen que los enlaces producidos solo se pueden utilizar una vez y caducan en 24 horas.

Creo que hay vulnerabilidades de seguridad.

  1. Usan una contraseña reversible que se puede descifrar fácilmente.
  2. Su cadena de consulta producida se puede ver en el historial web fácilmente y se puede usar si el usuario no puede conectarse por primera vez.
  3. Sospecho que no contienen valor secreto, probablemente se pueden usar datos secretos nuevamente.

¿Hay otras vulnerabilidades de seguridad aparentes que aún no conozco? Tengo que persuadirlos con amenazas exactas

    
pregunta Ahmet Arslan 20.12.2018 - 00:40
fuente

1 respuesta

1
  

Comencé a trabajar en una empresa cuyos ingenieros de software intentaron reinventar todo

¿Significa esto que no están utilizando marcos, normas de codificación, políticas, procedimientos? ¿Cómo sabes esto? ¿Cuál es su posición en esto?

  

No utilizaron (o no sabían) los estándares de la industria y para la autenticación

¿Qué quieres decir con esto?

  • protocolo (LDAP, SAML, etc.)?
  • framework (PHP: codificador de código, NodeJS, etc.)?
  • bibliotecas? (JQuery, etc)
  • pautas de codificación (variables de CamelCase, etc.)?
  • filosofía (KISS, etc.)?

¿Están incluso interesados en la seguridad? ¿Los datos en la aplicación son valiosos o vale la pena protegerlos?

  

Creo que hay vulnerabilidades de seguridad

Puede haber.

Pero los procesos de desarrollo maduros obtendrán más beneficios, una aceleración en la productividad y, como subproducto, detectan vulnerabilidades y errores, ya que todos se sincronizan para "hacer lo mismo" juntos.

Los procesos de maduración pueden llevar tiempo y una hoja de ruta.

    
respondido por el grimthaw 20.12.2018 - 01:53
fuente

Lea otras preguntas en las etiquetas