ataques xss

A Uma Visão da (In)Segurança na Web

XSS- Cross-Site Scripting Attacks

Segurança em Código Móvel

• Tanenbaum / Wetherall – Redes de
Computadores –Edição 5 – 2011, páginas
537, 538.

Segurança em Código Móvel

• No início, quando páginas Web eram apenas arquivos HTML estáticos, essas não continham códigos executável.
• Mas, hoje, as páginas frequentemente contém pequenos programas (Aplets Java, controles
ActiveX, código de JavaScript, ...

Segurança em Código Móvel
• Baixar e executar um código móvel num navegador, é sem dúvida, um risco de segurança. • Existem alguns métodos para minimizar esse risco de segurança.

ActiveX

• Programas binários X86 que podem ser incorporados às páginas Web.
• Tem poder como qualquer outro programa do usuário e tem potencial para causar grandes danos. • A segurança se resume na decisão de executar ou não o controle ActiveX.

ActiveX
• O método que a Microsoft escolheu para tomar a decisão de executar ou não, chama-se
Authenticode.
• Baseado na ideia de assinatura de código.
• Cada controle é acompanhado por uma assinatura digital – um hash do código, assinado pelo seu criador, com o uso de criptografia assimétrica.

ActiveX
• Quando um controle ActiveX aparece no navegador, esse verifica a assinatura, para ter certeza de que não foi adulterado em trânsito.
• Se a assinatura estiver correta, o navegador consulta suas tabelas internas para ver se o criador do programa é confiável.
• Se o criador for confiável, o programa é executado.

ActiveX
• Não é feito nenhum monitoramento do comportamento de execução do controle
ActiveX, como um código móvel.
• Se veio de origem confiável e não foi adulterado em trânsito, é executado pelo navegador. ActiveX
• Não é verificado se o código é malicioso ou não. • Controles ActiveX podem ser desenvolvidos, distribuídos, mas podem ser desativados no navegador. ActiveX
• Como não há como policiar milhares de empresas de