Seguridad en aplicaciones web

#3, #4: Efectivamente luego está el tema de tener una buena monitorización con IDS, tener una pasarela SSL montada y todo ese rollo.

Yo no sé mucho en la práctica, he tenido una asignatura con un profesor algo freak y bueno... lo que me quedó de ahí.

Eso sí #3, soy plenamente consciente de que un framework no te garantiza la seguridad, solo digo que seguro que está más securizado de lo que yo podré hacer de momento. Eso sí, hay que utilizar últimas versiones y estar atento, porque como saquen un exploit os joden a todos los usuarios del framework.

Te entiendo #6, este jodido mundo esta bastante oculto ya que no interesa mostrar los conocimientos del hacking xD, aquí te dejo unas webs interesantes sobre el tema:

https://browserid.org/ un sistem de puta madre, y aunque parezca mentira, es seguro
http://phpids.org/ es una libreria que establece una capa de seguridad y te va avisando de algun melon quiera hacer cosas que te puedan joder
http://www.elwebmaster.com/general/21-hacks-de-htaccess-que-todo-desarrollador-deberia-conocer algunos consejillos sobre htaccess
Utilizar mucha url amigable y esconder todo el .php que puedas xD
http://www.modsecurity.org/ un modulo de apache recomendable
http://www.petefreitag.com/item/505.cfm consejos de seguridad en apache
Licencia SSL para el envio cifrado de datos, esta parte es algo cara xD (utilizo verisign)
El metodo de ofuscar javascript que muchos lo hacen es una tonteria ya que se te puede sacar, hay cosas que es inevitable si mantienes una conexion cliente-servidor
http://php.net/manual/es/function.crypt.php Funcion que hace saltos de codificación, ejemplo: md5+"hola"+hash+md5

Vulnerabilidades
XSS
SQL injection
Explotacion ajax
Escapar correctamente las sentencias SQL
Subsanacion de errores (dejar errores a la vista del tipo SQL o headers)
Mal uso de criptografia (como dije arriba existen funciones para encriptar de forma segura, o hacerlo tu mismo)
Configuración erronea del php (estar al tanto de las versiones de PHP para no cagarla en errores graves)

Es un poco sobre este tema, espero que sirva de ayuda a toda la comunidad!

Testeos que suelo hacer en mis webs:

• Login seguro. Funciones para escapar caracteres chungos que puedan petar las consultas.
• Control de entrada de datos. Quitar tags no permitidos y denegar el input de js y cosas raras.
• Urls amigables. Ocultar los php y variables post/get siempre con htaccess y de paso ganar en posicionamiento.

Hubo una vez que me obsesioné con las contraseñas y a la hora de hacer el registro de usuarios hacía lo siguiente:

$pass = md5($pass);
$passSegura = md5(substr($pass, 0, 10));

xDDD

(sí, es innecesario)

#11 esto... xd tenia entendido k era de lo mas seguro ya k no se puede descifrar no? xD

#14 Sí, cuando escribí el comentario estaba pensando en ti xD

P.D.: <3

#18 Supongo que eso será por fuerza bruta tirando de GPU. Pero para ello tienes que tener las claves primero. Digo yo xD

#17 En la mayoría de páginas te piden ya varios requisitos: números, caracteres raros y demás.

#22 en el sentido que creo que lo preguntas, ninguna.

Sobre MD5, por si alguien tiene alguna duda sobre su efectividad criptográfica, comentar que los de Flame http://es.wikipedia.org/wiki/Flame_%28malware%29 (el súper malware que circula ahora mismo) aparte de 1001 truquis de pros, consiguieron FIRMARLO como si fueran de Microsoft mediante un certificado "güeno" que no valía para firmar, pero al que le hicieron perrerías a su firma "protegida" con MD5 hasta que colisionó con otro certificado que sí servía para firmar.

OLVIDAD MD5 (para errores "fortuitos" con un CRC de "mierda" sobra) . Si ya es para cosas "serias" de integridad, SHA-1 como mínimo (y para algo "importante" SHA-512 q es más rápido que SHA-256 por cierto).

Pero sobre todo, en estos temas, estar al día es fundamental.

Salu2

#22 Si es un ataque de ir probando todas las combinaciones, a priori la única diferencia es que el que devuelva un hash más largo, de media tardará más en colisionar ( http://es.wikipedia.org/wiki/Ataque_de_cumplea%C3%B1os ). PEEEEERO, los ataques "peligrosos" son los que "analizan" el algoritmo para sacar debilidades que permitan con un cambio mínimo de bits en la fuente obtener una colisión determinada.

Yo solo digo que en mi época de niñato y los phpnukes si que crackaba pass md5 en pocas horas xD