Таха Смайли и новое поколение этических хакеров используют свои навыки для обеспечения безопасности в Интернете


Недавно я сел с Тахой Смили, независимым исследователем кибербезопасности, чтобы поговорить о роли, которую он и другие члены нового поколения этических хакеров играют в обеспечении безопасности сайтов..

Contents

Пожалуйста, расскажите мне немного о себе и о том, как вы приняли участие в исследованиях в области кибербезопасности..

Меня зовут Таха Смили; Я независимый исследователь безопасности и криптограф из Марокко. Я самоучка на нескольких языках программирования (HTML, PHP, JavaScript, CSS и Python), криптографии, а также базовых сетях, стеганографии и криминалистике. Я также игрок Capture the Flag.

Я работаю на платформе Open Bug Bounty, где Я обнаружил около 3000 уязвимостей на разных сайтах о котором я затем сообщаю владельцам сайтов. В результате моей работы я попал в Зал Славы нескольких крупных компаний и организаций, включая Microsoft, Apple, Nokia, Pivotal и Cert-Europe..

Каковы некоторые из ваших недавних проектов безопасности?

В настоящее время я участвую в нескольких проектах по обеспечению безопасности, включая разработку инструментов тестирования веб-серверов. Дополнительно, Я только что закончил писать книгу «Методология безопасности веб-приложений» который будет опубликован в ближайшее время.

Вы также «охотник за головами с уязвимостями безопасности» - что это значит?

Охотники за уязвимостями безопасности - это новое поколение этических хакеров, которые помогают компаниям обнаруживать и исправлять свои ошибки безопасности.

«Bug Bounty» - это сделка, предлагаемая компаниями этическим хакерам, таким как я, в обмен на выявление ошибок безопасности.. Эти программы вознаграждения за ошибки оплачивают эти открытия в масштабе, пропорциональном серьезности ошибки.

Что такое платформа openbugbounty.org и как она работает?

Платформа Open Bug Bounty была запущена группой независимых исследователей в области безопасности в июне 2014 года. Это некоммерческая платформа, предназначенная для связи исследователей в области безопасности и владельцев веб-сайтов. в прозрачной, уважительной и взаимно ценной манере. Наша цель - сделать Интернет более безопасным для всех..

У нас нет финансовой или коммерческой заинтересованности в проекте. Кроме того, мы оплачиваем расходы на хостинг и веб-разработку из своего кармана и проводим ночи, проверяя новые заявки..

Как вы решаете, какие сайты проверять на недостатки безопасности?

Мне нравится проверять популярные сайты и сайты, которые могут показаться сильными и безопасными. Конечно, мне особенно интересно смотреть на сайты, которые беспокоятся о своей безопасности и тех, кто предлагает награды.

Вы делаете это для удовольствия или для получения прибыли?

Я делаю это для удовольствия, потому что мне нравятся новые задачи, но да, и для выгоды!

Считаете ли вы, что большинство компаний благодарны, когда вы сообщаете об уязвимости?

Да. Безопасность и защита информации и персональных данных в наши дни стали серьезной проблемой для компаний..

Каковы наиболее распространенные уязвимости, с которыми вы сталкиваетесь??

Наиболее распространенные проблемы, которые я вижу, это межсайтовый скриптинг (XSS), подделка межсайтовых запросов (CSRF) и захваты поддоменов.

Межсайтовый скриптинг (XSS) это когда вредоносные скрипты внедряются в иные доброкачественные и доверенные сайты. Эти атаки обычно осуществляются в форме сценария на стороне браузера и могут получить доступ к любым файлам cookie, токенам сеансов или другой конфиденциальной информации, сохраняемой браузером и используемой на этом сайте. Эти сценарии могут даже переписать содержимое HTML-страницы.

Подделка межсайтовых запросов (CSRF) это атака, которая заставляет конечного пользователя выполнять нежелательные действия с веб-приложением, в котором они в настоящий момент проходят проверку подлинности. Несмотря на фактическую кражу данных, успешная атака CSRF может заставить пользователя выполнять запросы на изменение состояния, такие как перевод средств, изменение адреса электронной почты и т. Д. Если жертва является учетной записью администратора, CSRF может поставить под угрозу все веб-приложение.

Поглощение субдомена это тип уязвимости, который появляется, когда запись DNS (поддомен) организации указывает на внешнюю службу, но эта служба больше не используется. Злоумышленник может зарегистрироваться во внешней службе и получить доступ к поддомену. В результате злоумышленник может разместить вредоносный код (например, для кражи файлов cookie HTTP) на поддомене организации и использовать его для атаки на законных пользователей..

Каковы некоторые из наиболее серьезных уязвимостей, которые вы видели?

Самыми серьезными уязвимостями, с которыми я столкнулся, является внедрение SQL для сброса баз данных и удаленного выполнения кода..

SQL-инъекция метод внедрения кода, при котором в поле ввода для выполнения вставляются гнусные операторы SQL, чтобы выгрузить содержимое базы данных злоумышленнику.

Удаленное выполнение кода Способность злоумышленника выполнить любую команду по выбору злоумышленника на целевом компьютере или в целевом процессе. Это одна из самых серьезных ошибок, поскольку она позволяет злоумышленнику полностью захватить уязвимый процесс. Оттуда злоумышленник может получить полный контроль над машиной, на которой выполняется процесс, позволяя вредоносным программам запускаться на компьютере без согласия владельца.

Исходя из вашего опыта в качестве исследователя кибербезопасности, какие советы вы можете предложить сегодняшним разработчикам программного обеспечения?

Самый важный совет, который я могу дать, это идти в ногу с пробелами в безопасности и последними обновлениями в области информационной безопасности. Кроме того, крайне важно работать с исследователями в области кибербезопасности, чтобы выявлять и устранять любые проблемы безопасности, прежде чем распространять продукты для общественности.

Где вы видите безопасность программного обеспечения в будущем??

Реальная проблема с безопасностью программного обеспечения еще глубже, чем ее можно решить с помощью передового опыта и специализированных языков.. Скорее всего, для решения системных проблем с Интернетом вещей и не только требуется полная перестройка архитектуры программного обеспечения с уровня ОС..

Brayan Jackson Administrator
Sorry! The Author has not filled his profile.
follow me