Las 10 mejores API de la serie OWASP de Coders Conquer Security: funciones de seguridad deshabilitadas/funciones de depuración habilitadas/permisos incorrectos

Si bien la mayoría de las vulnerabilidades de esta lista son bastante específicas de las API, el problema de las funciones de seguridad deshabilitadas, las funciones de depuración habilitadas o los permisos incorrectos puede ocurrir en cualquier parte. Es probable que sea un poco más frecuente en las API, pero los atacantes suelen intentar encontrar fallos sin parches y archivos o directorios desprotegidos en cualquier parte de la red. Encontrarse con una API que tiene habilitada la depuración o las funciones de seguridad deshabilitadas solo facilita un poco su nefasta labor. Y lo que es peor, existen herramientas automatizadas para detectar y aprovechar los errores de configuración de seguridad, por lo que si las tienes en tu entorno, es muy probable que se aprovechen de ellas, por lo que esta vulnerabilidad ha sido incluida en la lista de fallos peligrosos de las API de OWASP.

Antes de empezar a divertirnos, comprueba si puedes resolver este desafío de depuración:

¿Cómo se colan en una API las funciones de seguridad deshabilitadas, las funciones de depuración habilitadas o la falla de permisos incorrectos?

Para ver cómo esta falla de API multidimensional se agrega a las redes, debemos dividirla en sus componentes. Empecemos por el problema de las funciones de depuración habilitadas. La depuración es una herramienta útil que ayuda a los desarrolladores a descubrir por qué las aplicaciones no funcionan correctamente o cometen errores. Con la depuración habilitada, los errores y las excepciones generan páginas de error detalladas para que los desarrolladores puedan ver qué ha fallado y solucionar los problemas. Está perfectamente bien tenerla activa mientras una aplicación aún está en desarrollo.

Sin embargo, hay una razón por la que la mayoría de los marcos vienen con advertencias sobre la ejecución del modo de depuración en un entorno de producción, probablemente justo en el código donde está activada la depuración. Por ejemplo:

# ADVERTENCIA DE SEGURIDAD: ¡no ejecute con la depuración activada en producción!
DEBUG = Verdadero

En este ejemplo, se ha activado la depuración. La aplicación Django generará páginas de error detalladas cuando se produzca una excepción. Si esto se hace en un entorno de producción, un adversario tendría acceso a estas páginas de error, que incluyen información de metadatos sobre el entorno. Si bien la mayoría de los marcos tienen la depuración desactivada de forma predeterminada, es fácil olvidar volver a desactivarla si se activa durante un largo proceso de desarrollo. Luego, cuando la aplicación se traslada a un entorno de producción, proporciona a los atacantes mucha información sobre cómo poner en peligro una aplicación, o incluso un servidor o una red completos.

Si bien la activación del modo de depuración es principalmente un problema independiente, las vulnerabilidades de los permisos incorrectos y las funciones de seguridad deshabilitadas suelen funcionar juntas. Por ejemplo, en un escenario real ofrecido por OWASP, un atacante utilizó un motor de búsqueda para encontrar una base de datos que se conectó accidentalmente a Internet. Como el popular sistema de administración de bases de datos utilizaba su configuración predeterminada, la autenticación estaba deshabilitada. Por lo tanto, al combinar los permisos incorrectos con las vulnerabilidades de las funciones de seguridad inhabilitadas, el atacante obtuvo acceso a millones de registros con información de identificación personal, preferencias personales y datos de autenticación.

Eliminar las funciones de seguridad deshabilitadas, las funciones de depuración habilitadas o las vulnerabilidades de permisos incorrectos

Probablemente necesite adoptar un enfoque doble para eliminar esta vulnerabilidad. Para eliminar la parte del problema que tiene habilitada la depuración, basta con añadir una comprobación al proceso de desarrollo para garantizar que la depuración esté inhabilitada antes de trasladar una API o una aplicación al entorno de producción. Según nuestro ejemplo, el comando adecuado para hacerlo sería el siguiente:

# ADVERTENCIA DE SEGURIDAD: ¡no ejecute con la depuración activada en producción!
DEBUG = Falso

Ahora las funciones de depuración de la aplicación Django están deshabilitadas con el indicador DEBUG configurado en False. No se generará ninguna página de error en respuesta a los errores. Si un adversario sigue accediendo a las páginas de error, no contendrán ningún metadato útil y no supondrán un riesgo para la aplicación.

Eliminar las funciones de seguridad deshabilitadas y las vulnerabilidades de permisos inadecuados es un poco más difícil porque pueden abarcar una amplia gama de vulnerabilidades específicas. La mejor manera de detenerlas es desarrollar un proceso estándar y repetible que permita el despliegue rápido y sencillo de los activos bloqueados en el entorno de producción.

Aun así, debe crear un proceso en el que los archivos de orquestación, los componentes de la API y los servicios en la nube, como los permisos de los buckets de Amazon S3, se revisen y actualicen constantemente. Esta revisión también debería evaluar la eficacia general de la configuración de seguridad en todo el entorno a lo largo del tiempo, a fin de garantizar que la organización mejora constantemente la seguridad de sus API.

Eche un vistazo a la Secure Code Warrior páginas de blog para obtener más información sobre esta vulnerabilidad y sobre cómo proteger a su organización y a sus clientes de los estragos de otras fallas de seguridad. También puedes prueba una demo de la plataforma de formación Secure Code Warrior para mantener todas sus habilidades de ciberseguridad perfeccionadas y actualizadas.