Analizar problemas de seguridad de aplicaciones moviles y como con Testing e Infraestructura podemos protegerlas

1. Secure design of
applications for
mobile devices.
Enrique G. Dutra

2. Punto Net Soluciones SRL © 2016
Enrique Gustavo Dutra
 Socio Gerente de Punto Net Soluciones SRL
 MVP desde 2006, actualmente MVP Cloud
and Datacenter Management
 32 años de experiencia en Seguridad de la
Información/ Informática.
 Responsable del área de Seguridad en
compañías que han tercerizado el servicio
en Punto Net Soluciones SRL.
 Lidera equipo que realiza unos 500 test de
vulnerabilidad anuales.
 Miembro de IRAM Argentina, miembro del
subcomité de Seguridad IT, Evaluador
Norma ISO/IEC 27005 y 27103.
 Instructor en CPCIPC de la ESAPI.
 Disertante en eventos en LATAM.

3. Punto Net Soluciones SRL © 2016
Agenda
 Problemática actual
 Metodología de evaluación de software
 OWASP
◦ Metodología.
◦ Análisis estático vs dinámico.
◦ Herramientas y soluciones.
 Infraestructura al rescate.

4. Punto Net Soluciones SRL © 2013
Situación actual
Exposición de los servicios y datos a Internet.

5. Punto Net Soluciones SRL © 2016
¿Qué ocurre hoy en Internet?

6. Punto Net Soluciones SRL © 2016
Plataformas inseguras
https://raidforums.com/

7. Copyright Punto Net Soluciones SRL © - 2012
Juguemos….
In June 2016, a data breach allegedly originating
from the social website Badoo was found to be
circulating amongst traders. Likely obtained
several years earlier, the data contained 112
million unique email addresses with personal data
including names, birthdates and passwords stored
as MD5 hashes.

8. Punto Net Soluciones SRL © 2016
Problemáticas…
✓ Framework desarrollo instalado en producción.
✓ Ausencia de ambientes desarrollo / testing.
✓ Ausencia de validaciones en formularios Web.
✓ Fallas en validación/auntenticación.
✓ Software con ”hardcode”.
✓ Ausencia de conexión cifradas.
✓ Configuración Web permite SQL Injection.
✓ Usuarios de prueba en producción.
✓ Base de datos sin protección o semilla.
✓ Datos sensibles en base de datos :
✓ Ley 25326 Rep. Arg.,
✓ HIPAA - La Ley de Transferencia y Responsabilidad de Seguro Médico
(Health Insurance Portability and Accountability Act, HIPAA),
✓ PCI-DSS,
✓ Otros.

9. Punto Net Soluciones SRL © 2016
Ejemplos…

10. Punto Net Soluciones SRL © 2013
Introducción a OWASP
Open Web Application Security Project

11. Punto Net Soluciones SRL © 2016
OWASP
✓Promueve el desarrollo de software seguro
✓ Orientada a la prestación de servicios
orientados a la Web.
✓Se centra principalmente en el "back-end"
mas que en cuestiones de diseño web.
✓Un foro abierto para el debate.
✓ Un recurso gratuito para cualquier equipo
de desarrollo de software.
https://www.owasp.org

12. Punto Net Soluciones SRL © 2016
OWASP Top 10
✓OWASP Top 10 es un documento de los
diez riesgos de seguridad más
importantes en aplicaciones WEB según la
organización OWASP.
✓El objetivo de este proyecto es crear
conciencia acerca de la seguridad en
aplicaciones mediante la identificación de
algunos de los riesgos más críticos que
enfrentan las organizaciones.

13. Punto Net Soluciones SRL © 2016
OWASP
✓ Materiales de Educación
◦ OWASP Top 10
◦ Guía de Desarrollo OWASP
◦ Guía de Testing OWASP
◦ Guía OWASP para aplicaciones Web Seguras
✓ Software
◦ WebGoat
◦ WebScarab
◦ ESAPI
◦ ZAP
✓ Capítulos Locales
◦ Comunidades interesadas en Seguridad de Aplicaciones

14. Punto Net Soluciones SRL © 2016
Maduración desde el 2004

15. Punto Net Soluciones SRL © 2016
Injection
Ejemplo: (demo)
1) Acceder sitio http://demo.testfire.net/
2) Ingresar usuario admin o jsmith
3) Password ' or '1'='1
4) Ingresar usuario ' or '1'='1
5) Password ' or '1'='1

16. Punto Net Soluciones SRL © 2016
Secuencia de Comandos en
Sitios Cruzados (XSS)
Ejemplo: (demo)
1) Ingrese a demo.testfire.net
2) En Search escriba :
<h1><marquee> Bienvenidos a vOpen UY
</marquee></h1>
3) Presione el botón GO.
4) Copie el link de la URL en https://bitly.com/.
5) Debe obtener el link https://bit.ly/31BDEc3
6) Enviar por correo.

17. Punto Net Soluciones SRL © 2013
Más Vulnerable
Publicando servicios con aplicaciones móviles

18. Punto Net Soluciones SRL © 2016
Desarrollo inseguro
 75% de las apps móviles no pasaría
pruebas básicas de seguridad.
 Controles de seguridad quedan excluidos
del proceso de diseño.
 En entornos de desarrollo se deben
validar las aplicaciones.
 Del 100% testeado, 99.98% tenían
problemas de seguridad.

19. Punto Net Soluciones SRL © 2016
Análisis aplicaciones móviles
✓Análisis estático.
✓Análisis dinámico.
✓Análisis tráfico de red.
Desarrollo Area Seguridad
Analizar aplicaciones
desarrolladas
internamente o por
terceros
Analizar aplicaciones
adquiridas por la
compañía

20. Punto Net Soluciones SRL © 2016
Análisis estático

21. Punto Net Soluciones SRL © 2016
Análisis dinámico

22. Punto Net Soluciones SRL © 2016
¿Cómo testear?
 No hay presupuesto no es una excusa.
 OWASP provee metodología de
evaluación. VER PLANILLA.
 Uso de herramientas Open-Source:
◦ MobSF
◦ Qark
◦ Mara

23. Punto Net Soluciones SRL © 2016
MobSF - DEMO
 MobSF es un entorno completo de análisis
que permite hacer pruebas estáticas y
dinámicas en ejecutables de Android
(APK), iOS (IPA) y Windows Mobile
(APPX).
✓ Información del archivo
✓ Información de la aplicación
✓ Posibles elementos vulnerables
✓ Naturaleza del código
✓ Análisis del código decompilado
✓ Información del certificado
✓ Listado de permisos
✓ Extras de seguridad

24. Punto Net Soluciones SRL © 2016
Mara Framework
 Es un marco de análisis e
ingeniería inversa de
aplicaciones móviles.
 Es una herramienta que
combina herramientas de
ingeniería inversa y
análisis de uso común para
ayudar a probar las
aplicaciones móviles contra
las amenazas de seguridad
móvil OWASP.

25. Punto Net Soluciones SRL © 2016
Mara Framework
 Ejecutar el comando .
◦ /mara.sh -s <aplicacionapk>.apk
 Resultados en
◦ /MARA_Framework/data/APK.APK/Analysis

26. Punto Net Soluciones SRL © 2016
QARK
 Quick Android Review Kit
 Herramienta de análisis de código
estático, diseñada para reconocer posibles
vulnerabilidades de seguridad y puntos de
preocupación para las aplicaciones
Android basadas en Java.
 QARK educa a los desarrolladores.
Ejecutar el comando qark --apk <aplicacionapk>.apk

27. Punto Net Soluciones SRL © 2016
Links útiles
 https://github.com/ashishb/android-
security-awesome
 https://www.owasp.org

28. Punto Net Soluciones SRL © 2013
Código Fuente no puede modificarse
Resolver con Infraestructura

29. Punto Net Soluciones SRL © 2016
WAF
✓ SQL injection
✓ Cross site scripting
✓ Common attacks such as
command injection, HTTP
request smuggling, HTTP
response splitting, and
remote file inclusion
attack
✓ HTTP protocol violations
✓ HTTP protocol anomalies
✓ Bots, crawlers, and
scanners
✓ Common application
misconfigurations (e.g.
Apache, IIS, etc.)
✓ HTTP Denial of Service
Azure Web Application Firewall (WAF)
OWASP ModSecurity Core Rule Set (CRS)
OWASP core rule sets

30. Punto Net Soluciones SRL © 2016
WAF

31. ¡Gracias!
Blog https://seguridadit.blogspot.com/
Linkedin /in/enriquedutra/
Twitter /egdutra
Mail edutra@puntonetsoluciones.com.ar