En el último año, dos Investigadores en seguridad informática descubrieron cómo controlar una Jeep Cherokee a partir de varias vulnerabilidades en el sistema de entretenimiento. Lo curioso es, que los tipos de vulnerabilidades utilizadas se encuentran comúnmente en aplicaciones web. En esta charla explicaremos cómo funciona el ataque a la Jeep Cherokee y cómo estas técnicas pueden ser utilizadas contra una aplicación web.

1. #GX25
¿Qué puede tener en común
una aplicación web y una Jeep
Cherokee?
Esp. Ing. Gerardo Canedo
@GerardoMCanedo

2. Jeep Cherokee

3. HACKERS REMOTELY KILL A JEEP ON THE
HIGHWAY—WITH ME IN IT

4. CONSECUENCIAS

5. EL ATAQUE
Ejecución de Código

6. ¿Por qué sucedió esto?

7. Configuración
de OS
incorrecta
uso de root
Sin
Configuración
Segura
Error en diseño
en servicio
Falta de
autenticación
Concebido sin
acceso
remoto
Vulnerabilidades
en código
Ejecución
Código
arbitrario
Falta de
controles en
programación
CAUSAS DE LAS VULNERABILIDADES

8. ¿Y que tengo que ver con ésto?

9. SUGERENCIAS
CAUSAS DE LAS VULNERABILIDADES
Fallas en la Arquitectura
Falta de Autenticación/Autorización
Configuraciones inseguras de software
Vulnerabilidades en la aplicación

10. ESTO ME RECUERDA UN PENTESTS…
Servidor ejecutando con usuario privilegiado
Vulnerabilidad en código fuente
Web Service con acceso público por error

11. DEMO
“Basada en hechos reales”

12. UN POCO DE GOOGLE HACKING

13. INVOCANDO EL SERVICIO WEB

14. OBTENIENDO UNA SHELL EN EL
SISTEMA

15. What’s Next?

17. DESTACADOS
WebApp
Web Service
Arquitectura
¿CÓMO SEGUIR?

18. ARQUITECTURA

19. SUGERENCIAS
WEB SERVICE
Autenticación mutua a nivel SSL
Usuario / Contraseña
Token SAML
¡VERIFICAR AUTENTICACIÓN TAMBIÉN!

20. WEBAPP – REGLAS EN TRN

21. ¿Cómo hubiese sido evitado?

22. DESTACADOS
Test de Seguridad
Control de Acceso
Revisión de Arquitectura
CICLO DESARROLLO SEGURO

23. #GX25
Esp. Ing. Gerardo Canedo
gcanedo@genexusconsulting.com
@GerardoMCanedo