analisi e gestione della sicurezza di una complessa applicazione ...

CAPITOLO IV - La sicurezza nelle web applications
della rete, “spazzolando” fino a quando trovano delle porte o dei servizi aperti attraverso cui
effettuare l’exploit.
Da non sottovalutare gli attacchi DoS tramite i quali, come sarà spiegato in seguito, un servizio
viene mandato in tilt per un po’ di tempo causando un disservizio.
Poi abbiamo virus, spyware, malware, ecc. ma anche utenti che eseguono dei servizi con
privilegi troppo alti come mostrato in figura.
4.3 Caratteristiche e problematiche legate alla sicurezza
Uno dei concetti fondamentali in sicurezza è che essa non può essere considerata una
caratteristica del software. Essa è trasversale, parte dall’architettura, passa dalla progettazione,
si concretizza nello sviluppo e trova conferme nei test.
Ovviamente scrivere codice sicuro, mettendosi nei panni dello sviluppatore, non è facile in
quanto chi attacca è notevolmente avvantaggiato; chi difende deve proteggere tutti i fronti,
mentre a chi attacca basta una sola vulnerabilità. Inoltre chi difende lo fa in base alle proprie
conoscenze e può farlo solo contro attacchi già noti, quindi si potrà sempre scoprire qualcosa di
nuovo che lo sviluppatore non conosce e non può considerare nella sua strategia di sicurezza
attuale. Ovviamente, ci sono anche dei “contro” nell’applicazione di tecniche di sicurezza:
- il costo elevato, in quanto coordinare, trovare il bug, sistemare il codice, testarlo, e spiegarlo
al cliente (a volte è una cosa molto imbarazzante) comporta una spesa in termini economici,
che può essere notevole in quanto la correzione di un bug di sicurezza può devastare il codice
rispetto a un fix locale.
- il tempo perso
- la perdita di fiducia dei clienti
56