analisi e gestione della sicurezza di una complessa applicazione ...

vulnerabilità critiche di applicazioni di questo tipo; in particolare sono state esaminate le
vulnerabilità della piattaforma Talete seguendo le linee guida owasp 2.0, e i problemi che
potrebbero nascere da una progettazione non sicura di una web application e quindi dalla sua
architettura. Per fare questo, è stato usato un tool di Microsoft, il “Threat Analysis &
Modeling”, grazie al quale è stata effettuata la modellazione delle minacce; attraverso i reports
di questo strumento sono state individuate tutte le possibili vulnerabilità dell’architettura di
Talete. Infine, dopo aver adottato tutte le eventuali contromisure agli attacchi e alle
vulnerabilità segnalate, sono stati effettuati dei test con un software che ricerca vulnerabilità
nelle web applications, il “Web Vulnerability Scanner”; i report del WVS hanno evidenziato
che Talete è una piattaforma sicura.
Per concludere va detto che la sicurezza assoluta non esiste, cosi come non esiste ad esempio la
qualità totale, ma è un qualcosa a cui si può tendere e si deve farlo non applicando una tecnica,
poi un’altra e cosi via (criptare i cookie, i parameters), ma creando un percorso a livello
architetturale puntando i fari su ogni punto del ciclo di vita del software, come visto con la
SDL di Microsoft, e considerando che:
1 un livello di sicurezza del 100% non è raggiungibile, e comunque una strategia in merito
alla sicurezza coinvolge diversi processi complessi e non tutti di tipo tecnico nel senso
classico del termine.
2 Le organizzazioni devono avere la convinzione di cercare di raggiungere un certo grado
di sicurezza e protezione delle applicazioni software.
3 Le aziende devono provvedere alla formazione degli operatori sin dai livelli più bassi.
Inoltre nel corso del lavoro, abbiamo visto come nell’ultimo periodo sono stati molti gli
incidenti di sicurezza informatica causati da codice mal scritto in applicazioni Web 2.0. Quindi
un ulteriore passo avanti potrebbe essere quello di potenziare le tecniche automatizzate o
manuali di scansione con solidi meccanismi di individuazione degli errori che potrebbero
intaccare il DOM lato client. Potrebbe essere una vera e propria sfida mettere in atto scansioni
completamente automatiche per applicazioni Web 2.0, cosa che potrebbe essere risolta usando
161