Criando aplicações web seguras – Parte 1 - Revista Java Magazine 114

Ao se discutir a criação de aplicações corporativas, vários requisitos são levantados. Estes vão desde os requisitos funcionais, que abrangem as funcionalidades que o sistema deve possuir para atender as necessidades de negócio do cliente, até requisitos não funcionais, os quais tratam de questões como performance, usabilidade, se o software é amigável e fácil de ser utilizado pelo usuário, portabilidade, se o software será utilizado em várias plataformas (móvel, desktop, web, etc.), segurança, dentre outros.

Dentre os requisitos citados acima, a segurança das aplicações será o tema central deste artigo, e por tratar-se de um assunto extremamente importante, no âmbito das aplicações corporativas, deve ser discutido logo no início de sua concepção pelas principais frentes envolvidas no projeto.

Quando um sistema é considerado seguro o cliente passa a ter maior confiança em utilizá-lo, pois sabe que poderá contar com a confidencialidade de seus dados nele inseridos, passando a se sentir à vontade para utilizar os diversos recursos disponíveis.

Um sistema seguro gera valor às organizações. Um exemplo disto são as compras pela internet. Neste universo, empresas que disponibilizam sites confiáveis que ofereçam autenticidade das informações recebidas e armazenadas e, acima de tudo, segurança aos dados de seus usuários, certamente terão uma chance maior de sucesso.

A ausência de segurança pode levar a vários complicadores que podem tornar o sistema inviável para uso comercial, gerando danos financeiros, processos judiciais contra a empresa proprietária do software e uma mancha na reputação da empresa muitas vezes irrecuperável.

Por tudo isso, pode-se concluir que a segurança de uma empresa, que possua sistemas na web, passa pela segurança de suas aplicações.

Entretanto, mesmo esse conceito estando cada vez mais difundido entre as organizações e seus desenvolvedores, várias vulnerabilidades são encontradas nos sistemas, as quais podem ser usadas por usuários mal intencionados para os mais diversos tipos de ataques, causando danos às aplicações, aos dados relacionados e aos proprietários destes dados.

Dentre essas vulnerabilidades, podem-se destacar como exemplo as seguintes:

· Injeção de comandos: Uma forma bastante conhecida de ataque por Injeção de Comandos é a SQL Injection, que consiste em incluir em um formulário de uma página web partes de uma instrução SQL para que uma consulta, após o comando submit do formulário ser realizado, possa retornar valores e o usuário mal intencionado consiga manipular a aplicação. O resultado de um ataque desse tipo é possibilitar ao atacante o acesso a partes restritas do sistema e o uso indevido dessas funcionalidades para as quais ele não deveria ter acesso. Esse ataque na maioria das vezes é realizado nas páginas de login;

· Cross-site scripting: Também conhecida pela sigla XSS, trata-se de uma vulnerabilidade em que um usuário mal intencionado pode inserir códigos maliciosos (geralmente em JavaScript) nas páginas da aplicação. Geralmente esse é um ataque utilizado para roubar senhas e fraudar o sistema de controle de acessos, que muitas vezes também é feito utilizando JavaScript;

· Comunicação insegura: Vários sistemas devem permitir o tráfego de informações críticas como números de CPF, cartões de crédito, dentre outras informações pessoais dos usuários. No entanto essas informações devem ser trafegadas através de conexões seguras e criptografadas, evitando que sejam interceptadas e decodificadas por usuários mal intencionados que podem fazer um mau uso dessas informações;

· Informações não criptografadas: Essa vulnerabilidade ocorre quando informações importantes do sistema são trafegadas sem a utilização de um recurso de criptografia adequado. Quando a criptografia não é utilizada as informações ficam expostas geralmente em formato texto e qualquer usuário atacante não terá nenhum problema para obtê-las. Por isso, informações como senhas e dados bancários devem utilizar recursos adequados de criptografia, além de serem transmitidas por conexões seguras;

· Ausência de validação de dados: Muitas vezes as validações dos dados informados pelos usuários são inadequadas ou mesmo inexistentes. Validações feitas em JavaScript na própria página podem ser facilmente quebradas, por isso devem ser feitas ou mesmo copiadas para a camada onde se encontram a lógica de negócio da aplicação. No entanto, quando não existe nenhum tipo de validação de dados, a falta de segurança aumenta exponencialmente, pois o sistema não terá nenhum recurso que bloqueie dados transmitidos de maneira incorreta, podendo ocasionar erros inesperados como a queda do sistema ou mau comportamento do mesmo;

· Mensagens de erro: As mensagens de erro das aplicações têm a função de informar aos usuários sobre algum erro de validação no processamento do sistema, seja referente à tipagem dos dados informados ou erros de lógica de negócio. Mensagens de forma geral é uma maneira bastante eficiente de comunicação do sistema com o usuário. Apesar disso, devem ser escritas de modo a não revelar informações importantes como, por exemplo: “Senha incorreta”. Neste caso, significa que o usuário informou o nome do usuário corretamente, mas errou a senha. A fim de tornar menos específica, a mensagem poderia ser escrita da seguinte forma: “Nome de usuário ou senha incorreto”. Outra situação é quando ocorrem erros que revelam, por exemplo, o nome de campos e tabelas do banco de dados na tela do sistema. Essas informações podem ser utilizadas por atacantes trazendo prejuízo para o sistema. Mensagens de erro desse tipo não podem ser vistas pelos usuários.