Vlákno názorů ke zprávičce Třetina českých e-shopů má bezpečnostní problémy od anonym - V mnohých informáciach je štúdia možno prínosná, hlavne...
-
V mnohých informáciach je štúdia možno prínosná, hlavne pri odhalení malého počtu eshopov so skutočným bezpečnostnými rizikami. No myslím, že sa až príliš snažili dosiahnuť bulvárneho nadpisu "1/3 eshopov má bezpečnostný problém".
HTTP/2
Štúdia sa zameriava na bezpečnosť, na základe čoho vyvodzujú aj závery, ale presne som nepochopil aké bezpečnostne riziko je v tom (akú to malo váhu vo výsledkoch), ak eshop nepoužíva HTTP/2, keďže používanie daného protokolu z bezpečnosťou moc nesúvisí.TLS 1.3
Rovnako by nemal byť penalizovaný ani eshop, ktorý nepodporuje protokol TLS 1.3 ale "len" TLS 1.2, keďže aj používanie daného protokolu je stále bezpečné.Security.txt
Ak na eshpe používam všetky bezpečnostné prvky ale nevyužívam "security.txt", mám bezpečnostný problém? Nie, nemyslím si! -
To "odhalení malého počtu eshopov so skutočným bezpečnostnými rizikami" se týká přes 4000 e-shopů, to mi zase tak malé číslo nepřijde. A u dalších skoro 2000 ještě zůstal otazník "možná" a chtělo by je to ručně zkontrolovat na XSS a SQLinjection.
HTTP/2 jsem zkoumal, protože mi to přišlo zajímavé z technického pohledu jako doplněk k HTTPS. Máš pravdu že to s bezpečností přímo nesouvisí (jen někde ukazuje na neaktualizovanou OpenSSL). Weby bez HTTP/2 nebyly samozřejmě počítány bez ty s bezpečnostními problémy.
To samé TLS 1.3, opět jsem to zkoumal především ze zájmu (i když zde se již o bezpečnost jedná) a weby bez něj nebyly počítány mezi ty s bezpečnostními problémy.
Security.txt, jeho absenci také neberu jako bezpečnostní problém, beru ho ale jako signál, že se bezpečnost někdo pokoušel zabývat.
Do čísla 1/3 patří právě těch 4000 e-shopů s prokazatelnými kritickými problémy (především prokázané XSS, přístupné zastaralé Adminery, přístupné zálohy a dumpy db, přístupné konfigurace s hesly, s file managery bez autentifikace, napadnutelným SSL = F v SSL Labs a podobně). K tomu se přidá velká skupina webů s výpisem phpinfo(), weby exponující své error logy, debug informace, části konfigurací a podobně.
-
Samozřejmě. To ale neznamená, že je žebříček bezcenný. Musíte ho umět interpretovat.
Například musíte vědět, že na SSLLabs nelze dosáhnout score A+, pokud máte zapnuté TLS 1.3. Stejně tak musíte umět posoudit i ostatní kritéria.V pásmu vyšších score je to už na individuální posouzení, jestli se opravdu jedná o riziko.
Poměrně cenný je v pásmu horších score. Tam si dovoluji usuzovat, že to opravdu svědčí o zanedbávání.Některé firmy pochopily, že digitální prodej je důležitý a věnují se mu. Je však spousta těch, kteří ho berou jen jako nutné zlo. Pak se to projevuje tím, že ani nechtějí být technologickými leadery, neinvestují do rozvoje tak, jak by bylo potřeba. Pentesty se dělají jen jako firemní policy a spokojí se s tím, že projdou a mají podnikový cíl z krku.
Je dobře, že aspoň nějaká snaha o reflexi stavu existuje.
-
na SSLLabs nelze dosáhnout score A+, pokud máte zapnuté TLS 1.3Tohle me zarazilo a schvalne jsem otestoval server, kde mam TLS 1.3 zapnute. Dostal jsem A+ jako vzdy, protoze by se to nejspis melo tykat jen TLS 1.3 only serveru.
