Vulnerabilità dei servizi web

I primi attacchi di rete sfruttavano le vulnerabilità legate all'implementazione dei protocolli TCP/IP. Con la correzione progressiva di queste vulnerabilità, gli attacchi si sono spostati verso i livelli applicativi e in particolare al web, dove la maggior parte delle società aprono i loro sistemi firewall per il traffico destinato al web.

Il protocollo HTTP (o HTTPS) è lo standard che permette di veicolare le pagine web attraverso un meccanismo di richieste e risposte. Usato essenzialmente per trasportare delle pagine web di informazioni (pagine web statiche), il web è rapidamente diventato un supporto interattivo che permette di fornire dei servizi in linea. Il termine d'« applicazione web » designa quindi tutte le applicazioni la cui interfaccia è accessibile attraverso il web con l'ausilio di un semplice navigatore. Diventato il supporto di un discreto numero di tecnologie (SOAP, Javascript, XML RPC, etc.), il protocollo HTTP possiede ormai un ruolo strategico comprovato nella sicurezza dei sistemi di informazione.

Da quando i server web sono sempre più sicuri, gli attacchi si sono progressivamente spostati verso lo sfruttamento delle falle delle applicazioni web.

Per questo motivo, la sicurezza dei servizi web deve essere un elemento da considerare al momento della loro concezione e sviluppo.

Tipi di vulnerabilità

Le vulnerabilità delle applicazioni web possono essere classificate nel modo seguente  :

• Vulnerabilità del server web. Questo tipo di caso è sempre più raro dato che negli anni i principali sviluppatori di server web hanno rinforzato il loro livello di sicurezza ;
• Settaggio degli URL, modificando manualmente i parametri degli URL per modificare i comportamenti attesi dal server web ;
• Sfruttamento delle debolezze degli identificativi di sessione e dei meccanismi di autentificazione ;
• Iniezione di codice HTML e Cross-Site Scripting ;
• Iniezione di comandi SQL.

La verifica necessaria dei dati d'entrata

Il protocollo HTTP è per natura previsto per gestire delle richieste, cioè ricevere dei dati in entrata e inviare dei dati in ritorno. I dati possono essere inviati in modi diversi :

• Attraverso l'URL della pagina web
• Nelle intestazioni HTTP
• Nei testi della richiesta (richiesta POST)
• Attraverso un cookie

Il principio di base da considerare in maniera generale al momento di qualsiasi sviluppo informatico è che non bisogna fare affidamento ai dati inviati dal cliente.

Infatti, quasi la totalità delle vulnerabilità dei servizi web è legata alle negligenze degli ideatori, che non verificano il formato dei dati inseriti dagli utilizzatori.

Impatto degli attacchi web

Gli attacchi verso le applicazioni web sono sempre nocivi dato che forniscono una cattiva immagine della società. Le conseguenze di un attacco riuscito possono essere una delle seguenti :

• Cancellazione del sito web ;
• Furto di informazioni ;
• Modifica di dati, soprattutto modifica di dati personali degli utilizzatori ;
• Intrusioni sul server web.