Introduzione alla web security

Le pagine web non sono altro che programmi interpretati dai browser (es. Chrome, Explorer, Firefox …) che hanno il compito di convertirli in testo, immagini e contenuti multimediali.

Circa il 70% dei siti sono sviluppati utilizzando piattaforme CMS (es. WordPress, Drupal, Joomla, Magento …) che permettono una facile personalizzazione e di integrare nuove funzionalità caricando "plugin" di terze parti.

I files delle pagine web risiedono sul web server e sull'application server, tutti i dati sono scritti sul database e richiamati all'occorrenza per comporre la pagina con i contenuti da visualizzare.

L'installazione di WordPress ad esempio, carica sul server 1162 files con circa 220.000 linee di codice, aggiungendo un solo plugin per implementare la funzionalità e-commerce si raggiungono 1500 files con oltre 280.000 linee di codice.

E' immediato comprendere che una struttura così complicata possa contenere errori di programmazione e che difficilmente il webmaster o l'amministratore del sito potranno individuarli manualmente.

Più frequentemente, l'installazione di plugin o temi grafici potrebbero introdurre bugs di sicurezza nella piattaforma, se non fossero testati per coesistere con altri plugin (sono circa 40.000 i plugin disponibili per WordPress) potrebbero interferire lasciando aperti varchi di sicurezza.

Le conseguenze di un attacco

Solo in poche situazioni si intuisce di essere stati vittima di un attacco, normalmente nel caso in cui un sito viene modificato con lo scopo di pubblicare contenuti che possano provocare danni per l'immagine dell'Azienda.

L'accesso al pannello di controllo con privilegi di amministratore può permettere all'attaccante di impossessarsi del server dove sono caricati i files del sito, potrebbe quindi utilizzare lo spazio libero per pubblicare materiale illegale da scambiare su circuiti torrent o nel dark/deep web.

L'accesso non autorizzato ad un sito che richiede la registrazione degli utenti (ad esempio un sito ecommerce o un blog) significherebbe la perdita di controllo sui dati personali e comporterebbe una violazione da notificare al Garante della Privacy.

Molto più frequentemente l'hacker inietta codice malevolo al fine di utilizzare il sito come "vettore d'infezione" per diffondere malware oppure pubblicando pagine fake cloni di altri siti dove potrebbe indirizzare i malcapitati usando tecniche di phishing con lo scopo di sottrarre dati relativi alle carte di credito oppure dati personali o credenziali d'accesso a vari servizi, che poi potrà vendere sul deep web o che utilizzerà in modo illecito.

In tutti questi casi, gli illeciti sono a tutti gli effetti compiuti dal titolare del sito web.

thin

Per informazioni

0341 700086

Open Lun-Ven

09:00 - 18.00