Testy penetracyjne aplikacji – dawno nie mówiono o bezpieczeństwie tak głośno jak teraz. Właśnie w tym momencie coraz więcej firm zalicza potknięcia, które prowadzą do utraty zaufania do marki budowanej latami. Tracą na tym zarówno firmy, jak i ich klienci – bo wykradzione dane to zazwyczaj dane klientów.
Mamy obecnie styczeń, a rynek widział już sporo firmowych wpadek – jednym z przykładów jest wyciek danych dwóch milionów klientów firmy działającej w sektorze pożyczkowym.
Wyciekły pełne dane osobowe, takie jak imię, nazwisko, numer PESEL oraz adres – dane, które mogą skutecznie posłużyć do wyłudzenia pożyczek przez internet.
W ubiegłym, 2015 roku cyberprzestępcy pozyskali z usługi hostingowej bazę 13 milionów haseł wraz z adresami e-mail. Co można zrobić z takim zestawem danych? Sprawdzić, czy użytkownik nie używa tego samego hasła w innym serwisie, gdzie również można przejąć jego konto. Można też spróbować uzyskać dostęp do skrzynki pocztowej użytkownika i wykraść inne poufne informacje.
Kto na tym traci? Głównie klient.
Dwa opisane wyżej incydenty to tylko przykłady – są ich tysiące, i to tylko te, o których wiemy. Część firm w ogóle nie informuje o włamaniach, przez co klienci nie mogą nawet zareagować, co jest jeszcze gorsze.
Nie unikniesz błędów bezpieczeństwa tylko dlatego, że zatrudnisz dobrych programistów. Aby podnieść poziom bezpieczeństwa swojego sklepu internetowego, serwisu WWW czy aplikacji webowej, musisz przeprowadzać testy bezpieczeństwa swoich usług.
Testy penetracyjne aplikacji polegają na tym, że testerzy wcielają się w rolę hakerów, którzy próbują znaleźć podatności w usłudze lub produkcie przekazanym im do sprawdzenia. Taki zespół składa się z kilku specjalistów, zazwyczaj od 2 do 10 osób, którzy mają wieloletnie doświadczenie zarówno w przełamywaniu zabezpieczeń, jak i w programowaniu oraz administracji systemami.
Klienci zazwyczaj zlecają nam przeprowadzenie testów penetracyjnych aplikacji w tzw. modelu black-box – w którym nasz zespół ma minimalną wiedzę o testowanym systemie. Działamy więc jak typowy haker próbujący włamać się do określonych zasobów. Możemy zrealizować każde zadanie z wyjątkiem jednego – nie wolno nam faktycznie uszkodzić testowanego systemu.
Czasem działamy też inaczej: często otrzymujemy od klientów wyłącznie kod źródłowy aplikacji i na jego podstawie musimy ustalić, czy zawiera on błędy bezpieczeństwa, zaprogramowane backdoory itp. Tu nie ma ryzyka uszkodzenia systemu – jest tylko czas, który może sięgać setek godzin poświęconych na analizę kodu źródłowego pod kątem bezpieczeństwa.
Ponieważ branża bezpieczeństwa nie lubi się chwalić – nikt z Was ze względów bezpieczeństwa nie publikuje w mediach społecznościowych, jaki system alarmowy zainstalował w domu, ani nie podaje nazwy firmy, która go zamontowała – my również nie publikujemy nazw klientów w case studies opisujących część zrealizowanych prac ani nie pokazujemy publicznie referencji z takich projektów. Nie chcemy w ten sposób narażać naszych klientów.
W ramach jednego z ostatnich zleceń przeprowadziliśmy testy penetracyjne aplikacji dla rozwiązania e-commerce opartego na platformie WordPress, należącego do jednego z naszych klientów. Za jego zgodą publicznie ujawniliśmy 2 odkryte podatności, aby inni mogli się zabezpieczyć.
Pierwszą podatnością wykrytą przez naszych pentesterów była tzw. podatność XSS w pluginie Simple Shop dla WordPress, która mogła doprowadzić do przejęcia konta administratora lub klienta platformy e-commerce.
Kolejna podatność była bardziej krytyczna – SQL Injection w pluginie eShop dla WordPress pozwoliłaby hakerowi uzyskać pełny dostęp do bazy danych aplikacji webowej – w tym przypadku sklepu internetowego – a także dostęp do plików serwisu, powłoki serwera i nie tylko. Gdyby tę podatność znalazł prawdziwy haker, mogłoby to doprowadzić do pełnej kompromitacji serwisu i firmy.
Dzięki przeprowadzonym przez nas testom penetracyjnym aplikacji platforma e-commerce naszego klienta została zabezpieczona – a odkrycie wskazanych przez nas podatności przez cyberprzestępców byłoby zapewne tylko kwestią czasu, co odbiłoby się zarówno na naszym kliencie, jak i jego klientach.
Gratulujemy klientowi odpowiedzialności, troski o bezpieczeństwo i profesjonalnego podejścia, które pozwoliły zapobiec katastrofie niewielkim kosztem, zamiast narażać firmę na ogromne wydatki związane z naprawami po incydencie bezpieczeństwa – bez gwarancji odbudowy zaufania klientów.
Naszych wiernych czytelników zapraszamy do udziału w promocji, w ramach której możesz zlecić testy penetracyjne aplikacji dla własnych systemów.
Pamiętaj, że testy penetracyjne aplikacji (bezpieczeństwo) to proces, który powinien trwać nieustannie.
Testy penetracyjne aplikacji są niezwykle ważne i mamy nadzieję, że dzięki naszej ofercie podniesiesz poziom bezpieczeństwa swoich usług.