Programação Segura em Java Acadêmicos: André Mendes Duarte Deiwys Luciano Grumovski Gustavo Heidrich Grunwald 1-19.

Apresentação em tema: "Programação Segura em Java Acadêmicos: André Mendes Duarte Deiwys Luciano Grumovski Gustavo Heidrich Grunwald 1-19."— Transcrição da apresentação:

1 Programação Segura em Java Acadêmicos: André Mendes Duarte Deiwys Luciano Grumovski Gustavo Heidrich Grunwald 1-19

2 Roteiro ●Conceitos ●Linguagem de Programação Java ●Históricos de Aplicações Java ●Normas e técnicas de Segurança em Java ●Conclusões 2-19

3 Conceitos ●As primeiras versões do Java: - Intenção criar um dispositivo que pudesse ser facilmente programável. - Finalidade o entretenimento doméstico. Posteriormente: - Popularização da Internet. - O foco mudou e diferentes plataformas foram criadas. 3-19

4 Linguagem de Programação Java Lançado em 1995 pela Sun Microsystems. Não é apenas uma linguagem, mas sim uma plataforma de desenvolvimento. o Criado para desenvolver aplicações para diversos dispositivos diferentes. O Java é uma linguagem e plataforma de computação encontrado em: o Laptops. o Data centers. o Consoles de jogo. o Supercomputadores científicos. o Telefones celulares e até na Internet. Fonte: (JAVA, 2013) 4-19

5 Históricos de Aplicações Java 1991 Green Team 1991 Start7 1994 WebRunner 1995 JAVA 1996 JavaOne 1996 JDK / JAVA 1.0 1999 JSP / JEE / JME 2009 Oracle compra a Sun 5-19

6 Normas e técnicas de Segurança em Java ITSEC: Normas para certificação de segurança. Criada em 1991 pela Alemanhã, França e Inglaterra. Versão atual: 1.2, publicada em 1991. OWASP: Criada para auxiliar o desenvolvimento de software seguro. Gratuíto. 6-19

7 Normas e técnicas de Segurança em Java Os 10 principais riscos de segurança, segundo o OWASP: Command Injection. Cross-site scripting. Broken authentication e session management. Insecure direct object references. Cross-site request forgery. Security Misconfiguration. Insecure Cryptographic Storage. Failure to Restrict URL Access. Insufficient Transport Layer Protection. Unvalidated Redirects and Forwards. 7-19

8 Command Injection Objetivo: inserção textos e explora falhas na sintaxe. Exemplo: 8-19

9 Command Injection 9-19

10 CROSS-SITE REQUEST FORGERY (CSRF) Objetivo: enviar solicitações maliciosas a outros sites. Exemplo: 100-19

11 CROSS SITE SCRIPTING (XSS) Objetivo: executar scripts não confiáveis no navegador. Exemplo: 111-19

12 BROKEN AUTHENTICATION AND SESSION MANAGEMENT Objetivo: explorar falhas no gerênciamento de sessões. Exemplos: 122-19

13 INSECURE DIRECT OBJECT REFERENCES Objetivo: modificar valores de objetos que nao possuem validação. Exemplo: 133-19

14 SECURITY MISCONFIGURATION Objetivo: explorar falhas na configuração do sistema. Exemplos: 144-19

15 INSECURE CRYPTOGRAPHIC STORAGE Objetivo: explorar falhas no armazenamento criptografado. Exemplo: 155-19

16 FAILURE TO RESTRICT URL ACCESS Objetivo: acessar URLs restritas que nao tiveram seu acesso restringido. Exemplo: 166-19

17 INSUFFICIENT TRANSPORT LAYER PROTECTION Objetivo: explorar falhas na camada de transporte. Exemplo: 177-19

18 UNVALIDATED REDIRECTS AND FORWARDS Objetivo: explorar falhas no redirecionamento de páginas. Exemplo: 188-19

19 Conclusões Este trabalho foi importante para o conhecimento das vulnerabilidades que podem ter em uma aplicação e como isto pode afetar os usuários. Foi possível conhecer e aperfeiçoar o desenvolvimento confiável das aplicações. Com a aplicação das recomendações propostas neste trabalho, será possível identificar e prevenir os dez ataques mais comuns em aplicações Java. Os objetivos iniciais do trabalho foram compridas. Algumas dificuldades ao longo do trabalho foram encontradas, mas a principal foi que alguns capítulos não foram entregues em tempo hábil. 19-19