Penetračné testy desktopových aplikácií

Penetračné testy desktopových aplikácií  
V porovnaní s penetračnými testami webových aplikácií sú v mnohých ohľadoch dosť špecifické. Vyžadujú si komplexné znalosti bezpečnej autentifikácie, autorizácie prístupov a práce s citlivými dátami, ako aj hlboké znalosti programovacích jazykov vrátane jazyka assembler, dissembler, debugger s priamym využitím kódov inštrukčnej sady (tzv. opcodes). Výsledkom je overenie, či je aplikácia bezpečná, vhodná na produkčné nasadenie a či netrpí žiadnymi zjavnými bezpečnostnými nedostatkami, ktoré by mohli predstavovať priame bezpečnostné riziko pre samotnú aplikáciu, jej používateľov a samotné dáta. 

Na základe našich dlhoročných skúseností uvádzame podrobnejší zoznam oblastí, ktoré sú pre bezpečnosť desktopových aplikácií kritické. Nejde o úplný zoznam, ale poskytuje jasnejšiu predstavu o rozsahu a zložitosti penetračných testov pre desktopové aplikácie, či už ide o vaše vlastné riešenie alebo riešenie tretej strany, ktoré sa chystáte nasadiť vo svojom prostredí. Radi vám pomôžeme s vaším riešením zabezpečenia. 

Analýza zdrojových kódov  
Kombinácia statickej analýzy pomocou automatizovaných nástrojov a manuálnej kontroly kódu,  
jazyky JAVA, C# alebo iné jazyky na požiadanie. 

• Aplikácia ukladá citlivé dáta v nezašifrovanej podobe,  
• vytvorené súbory majú pridelené vysoké prístupové práva, 
• nedostatočná kontrola vstupov na strane servera,  
• zraniteľnosti komunikačnej brány,  
• možné testy DoS komunikačnej brány,  
• citlivé údaje sa odosielajú cez nešifrovaný komunikačný kanál,  
• slabé miesta SSL/TLS (verzie, algoritmy, dĺžky kľúčov, validita certifikátov),  
• používa sa proprietárny komunikačný protokol,  
• nedostatky vo vzájomnom overovaní kanála,  
• dlhý čas čakania na odpoveď servera,  
• nedostatočná kontrola vstupov klienta,  
• možnosti obísť autentifikačnú schému,  
• nepoužívanie viacfaktorového overovania,  
• možnosti útoku hrubou silou na autentifikačné údaje,  
• slabá politika hesiel,  
• spustiteľné súbory nie sú podpísané,  
• tokeny relácie nie sú generované s dostatočnou entropiou,  
• dlhé trvanie používateľskej relácie,  
• chýbajúce automatické odhlásenie pri nečinnosti,  
• citlivé informácie uložené v cache pamäti,  
• ukladanie citlivých informácií v súboroch denníka,  
• kryptografia používaná pri ukladaní údajov nie je bezpečná,  
• spustiteľný kód obsahuje citlivé údaje,  
• citlivá obchodná logika obsiahnutá v programe,  
• komentáre vývojárov v programových súboroch,  
• nepoužívajú sa obfuskátory kódu,  
• citlivé údaje v pamäti,  
• nedostatky v obchodnej logike aplikácie.