John Paul Mueller. Novatec

Transcrição

1 John Paul Mueller Novatec

2 Authorized Portuguese translation of the English edition of Security for Web Developers, ISBN John Mueller. This translation is published and sold by permission of O'Reilly Media, Inc., which owns or controls all rights to publish and sell the same. Tradução em português autorizada da edição em inglês da obra Security for Web Developers, ISBN John Mueller. Esta tradução é publicada e vendida com a permissão da O'Reilly Media, Inc., detentora de todos os direitos para publicação e venda desta obra. Novatec Editora Ltda Todos os direitos reservados e protegidos pela Lei de 19/02/1998. É proibida a reprodução desta obra, mesmo parcial, por qualquer processo, sem prévia autorização, por escrito, do autor e da Editora. Editor: Rubens Prates MP Tradução: Lúcia Kinoshita Revisão gramatical: Smirna Cavalheiro Assistente editorial: Priscila A. Yoshimatsu Editoração eletrônica: Carolina Kuwabata ISBN: Histórico de impressões: Março/2016 Primeira edição Novatec Editora Ltda. Rua Luís Antônio dos Santos São Paulo, SP Brasil Tel.: novatec@novatec.com.br Site: Twitter: twitter.com/novateceditora Facebook: facebook.com/novatec LinkedIn: linkedin.com/in/novatec

3 Sumário Prefácio Parte I Desenvolvendo um plano de segurança...25 Capítulo 1 Definindo o ambiente da aplicação Especificando as ameaças às aplicações web...27 Entendendo a Software Security Assurance (SSA)...33 Considerando o OSSAP...34 Definindo os requisitos de SSA...35 Classificando dados e recursos...37 Fazendo a análise necessária...37 Mergulhando em questões específicas de linguagem...41 Definindo os principais problemas de HTML...42 Definindo os principais problemas de CSS...43 Definindo os principais problemas de JavaScript...44 Considerando o essencial para defesa nos endpoints...45 Evitando falhas de segurança...45 Detectando falhas de segurança...47 Corrigindo um software com problemas...48 Lidando com armazenamento em nuvem...49 Usando códigos e recursos externos...51 Definindo o uso de bibliotecas...52 Definindo o uso de APIs...53 Definindo o uso de microsserviços...55 Acessando dados externos...56 Permitindo acesso a outros...58 Capítulo 2 Acolhendo as necessidades e expectativas dos usuários Desenvolvendo uma visão de usuário à aplicação...61 Considerando os problemas de BYOD (Bring Your Own Device)...63 Entendendo a segurança de aplicações baseadas em web...63 Considerando problemas de aplicações nativas

4 8 Segurança para Desenvolvedores Web Usando navegadores customizados...66 Verificando problemas de compatibilidade de código...68 Tratando atualizações quase contínuas de dispositivos...71 Planejando alternativas a senhas...73 Trabalhando com frases-senha...74 Usando soluções biométricas...75 Contando com cartões-chave...78 Contando com chaves USB...79 Implementando uma estratégia de token...80 Focando nas expectativas dos usuários...80 Deixando a aplicação fácil de usar...81 Deixando a aplicação rápida...81 Criando um ambiente confiável...82 Mantendo a segurança em perspectiva...83 Capítulo 3 Obtendo assistência de terceiros Identificando soluções de terceiros para segurança...85 Considerando soluções para segurança em nuvem...87 Entendendo os repositórios de dados...88 Lidando com problemas de compartilhamento de arquivos...90 Considerando o armazenamento em nuvem...94 Escolhendo um tipo de produto...96 Trabalhando com bibliotecas...97 Acessando APIs...98 Considerando os microsserviços Parte II Aplicando práticas de programação bem-sucedidas Capítulo 4 Desenvolvendo interfaces bem-sucedidas Acessando a interface de usuário Criando uma interface clara Deixando as interfaces flexíveis Oferecendo auxílio ao usuário Definindo os problemas de acessibilidade Oferecendo opções controladas Escolhendo um nível de solução para interface de usuário Implementando controles HTML padrão Trabalhando com controles CSS Criando controles com JavaScript...125

5 Sumário 9 Validando a entrada Permitindo apenas entradas específicas Procurando dados de entrada furtivos Solicitando novas entradas Usando validação tanto do lado cliente quanto do lado servidor Esperando o inesperado Capítulo 5 Implementando um código confiável Diferenciando confiabilidade e segurança Definindo os papéis da confiabilidade e da segurança Evitando brechas de segurança em códigos confiáveis Focando nas funcionalidades da aplicação Desenvolvendo protocolos de equipe Criando um ciclo de feedback de lições aprendidas Considerando os problemas de soluções prontas Lidando com bibliotecas externas Lidando com APIs externas Trabalhando com frameworks Acionando os microsserviços Capítulo 6 Incorporando bibliotecas Considerando os usos de bibliotecas Melhorando o CSS com bibliotecas Interagindo com HTML usando bibliotecas Estendendo o JavaScript com bibliotecas Diferenciando bibliotecas armazenadas internamente de bibliotecas armazenadas externamente Definindo as ameaças de segurança causadas por bibliotecas Habilitando o modo estrito Desenvolvendo uma CSP (Content Security Policy) Incorporando bibliotecas de forma segura Fazendo uma pesquisa completa sobre a biblioteca Definindo exatamente quais são os usos da biblioteca Mantendo o tamanho da biblioteca reduzido e o conteúdo focado Executando os testes necessários Diferenciando bibliotecas de frameworks Capítulo 7 Usando APIs com cuidado Diferenciando APIs de bibliotecas Considerando as diferenças em popularidade Definindo as diferenças quanto ao uso...185

6 10 Segurança para Desenvolvedores Web Estendendo JavaScript usando APIs Localizando as APIs apropriadas Criando um exemplo simples Definindo as ameaças de segurança causadas por APIs Arruinando seu bom nome com o MailPoet Desenvolvendo uma imagem do snappening Perdendo seu dispositivo com o Find My iphone Deixando suas informações mais importantes vazarem com o Heartbleed Sofrendo com o Shellshock Acessando APIs de forma segura a partir de JavaScript Verificando a segurança da API Testando entradas e saídas Mantendo os dados localizados e seguros Programando de forma defensiva Capítulo 8 Considerando o uso de microsserviços Definindo microsserviços Especificando as características dos microsserviços Diferenciando microsserviços de bibliotecas Diferenciando microsserviços de APIs Considerando as políticas dos microsserviços Fazendo chamadas a microsserviços usando JavaScript Entendendo o papel do REST na comunicação Transmitindo dados usando JSON Definindo as ameaças de segurança causadas por microsserviços Falta de consistência Considerando o papel da máquina virtual Usando JSON para transferências de dados Definindo a TLS Criando paths alternativos para microsserviços Parte III Criando estratégias de testes úteis e eficientes Capítulo 9 Pensando como um hacker Definindo a necessidade de scans de segurança web Criando um sistema de testes Obtendo o treinamento necessário Criando o ambiente correto Usando máquinas virtuais Obtendo as ferramentas...232

7 Sumário 11 Configurando o sistema Restaurando o sistema Definindo as fontes mais comuns de brechas de segurança Evitando ataques de injeção de SQL Entendendo o Cross-Site Scripting Enfrentando problemas de negação de serviço (denial-of-service) Aproveitando-se da localização previsível de recursos Evitando a divulgação de informações que não deveriam ser reveladas Testando em um ambiente BYOD Configurando uma zona de acesso remoto Verificando hacks entre aplicações Lidando com equipamentos e softwares realmente antigos Contando com testes de usuário Deixando o usuário correr solto Desenvolvendo passos reproduzíveis Dando voz ao usuário Usando pentesters externos Considerando a empresa de testes de invasão Gerenciando o projeto Incluindo o essencial Obtendo o relatório Capítulo 10 Criando uma zona de segurança para APIs Entendendo o conceito de zona de segurança de API Definindo a necessidade de uma zona de segurança de API Garantindo que sua API funcione Possibilitando um desenvolvimento rápido Garantindo a melhor integração possível Verificando se a API se comporta quando houver carga Mantendo a API segura contra hackers Desenvolvendo com uma API em sandbox Usando uma solução de prateleira Usando sandboxes de outros fornecedores Considerando ambientes virtuais Definindo o ambiente virtual Diferenciando ambientes virtuais de sandboxing Implementando a virtualização Contando com a virtualização de aplicações

8 12 Segurança para Desenvolvedores Web Capítulo 11 Verificando se há brechas de segurança em bibliotecas e APIs Criando um plano de testes Considerando metas e objetivos Testando bibliotecas internas Testando APIs internas Testando bibliotecas externas Testando APIs externas Estendendo os testes aos microsserviços Testando bibliotecas e APIs individualmente Criando um test harness para bibliotecas Criando scripts de teste para APIs Estendendo as estratégias de teste aos microsserviços Desenvolvendo estratégias de resposta Realizando testes de integração Testando problemas específicos de linguagem Projetando testes para problemas de HTML Projetando testes para problemas de CSS Projetando testes para problemas de JavaScript Capítulo 12 Usando empresas terceirizadas de testes Localizando serviços de testes oferecidos por terceiros Definindo os motivos para contratar um terceiro Considerando a variedade de possíveis serviços de testes Garantindo a legitimidade do terceiro Entrevistando o terceiro Realizando testes em uma instalação para testes Criando um plano de testes Especificando as metas da empresa terceirizada nos testes Gerando um plano de testes por escrito Listando as saídas dos testes e os requisitos de relatório Considerando os requisitos de testes Implementando um plano de testes Determinando a participação da empresa nos testes Iniciando o processo de testes Fazendo a monitoração necessária nos testes Tratando problemas inesperados nos testes Usando os relatórios resultantes Discutindo o relatório gerado com o terceiro Apresentando o relatório à empresa Atuando sobre as recomendações dos testes...319

9 Sumário 13 Parte IV Implementando um ciclo de manutenção Capítulo 13 Definindo claramente os ciclos de upgrade Desenvolvendo um plano detalhado de ciclo de upgrade Procurando upgrades Determinando os requisitos do upgrade Definindo a criticidade do upgrade Verificando upgrades para ver se há problemas Criando cenários de testes Implementando as mudanças Criando um cronograma para teste de upgrade Executando os pré-testes necessários Executando os testes de integração necessários Passando um upgrade para o ambiente de produção Capítulo 14 Considerando as opções de update Diferenciando entre upgrades e updates Determinando quando o update deve ser feito Trabalhando com updates de biblioteca Trabalhando com updates de API e microsserviços Aceitando updates automáticos Fazendo update em pacotes de idiomas Criando uma lista de idiomas aceitos Contando com especialistas de confiança em idiomas Conferindo se os prompts específicos de um idioma funcionam na aplicação.351 Garantindo que os dados apareçam no formato correto Definindo os requisitos especiais para testes de suporte a idiomas Efetuando updates de emergência Evitando as emergências sempre que for possível Criar uma equipe para respostas rápidas Executando testes simplificados Criando um cronograma permanente de updates Criando um cronograma para testes de update Capítulo 15 Considerando a necessidade de relatórios Usando relatórios para fazer alterações Evitando relatórios inúteis Controlando o instante e a frequência de relatórios de upgrades e updates Usando relatórios gerados automaticamente Usando relatórios personalizados Criando relatórios consistentes...364

10 14 Segurança para Desenvolvedores Web Usando relatórios para executar tarefas específicas da aplicação Criando relatórios internos Determinando quais fontes de dados serão usadas Especificando usos para os relatórios Contando com relatórios gerados externamente Obtendo relatórios completos de terceiros Desenvolvendo relatórios a partir de dados brutos Mantendo os dados internos seguros Possibilitando feedback de usuários Obtendo feedback de usuários Determinando a usabilidade do feedback de usuário Parte V Localizando recursos de segurança Capítulo 16 Monitorando as ameaças de segurança atuais Desenvolvendo fontes para obter informações sobre ameaças de segurança Lendo artigos relacionados à segurança escritos por especialistas Verificando sites de segurança Obtendo informações de consultores Evitando sobrecarga de informações Criando um plano para upgrades baseado em ameaças Prevendo situações que não exigem nenhuma ação Decidir-se entre um upgrade e um update Definindo um plano de upgrade Criando um plano para updates baseado em ameaças Verificar se os updates resolvem as ameaças Determinando se a ameaça é uma emergência Definindo um plano de update Solicitando updates de terceiros Capítulo 17 Proporcionando o treinamento necessário Criando um plano de treinamento interno para segurança Definindo os treinamentos necessários Definindo metas razoáveis Usando instrutores internos Monitorando os resultados Obtendo treinamento de terceiros para os desenvolvedores Especificando os requisitos de treinamento Contratando um instrutor terceirizado para sua empresa...406

11 Sumário 15 Usando cursos online Contando com centros de treinamento Usando faculdades e universidades locais Garantindo que os usuários estejam cientes da segurança Criando treinamentos específicos para segurança Combinando treinamento com orientações por escrito Criando e usando lembretes alternativos para segurança Verificando se os treinamentos são eficientes...412