İsmail Burak Tuğrul - Online Bankacılık Uygulamalarında Karlılaşılan Güvenlik Açıkları
•Download as PPTX, PDF•
1 like•755 views
Gerçekleştirmesi planlanan sunumda web ve mobil bankacılık uygulamalarında sıklıkla karşılaşılan güvenlik açıklıklarından ve bu açıklıkların doğurduğu risklerden bahsedilecektir.
İsmail Burak Tuğrul - Online Bankacılık Uygulamalarında Karlılaşılan Güvenlik Açıkları
- 1. Online Bankacılık Uygulamalarında Karşılaşılan Güvenlik Açıkları 15 Nisan 2015, Girne
- 2. • İsmail Burak Tuğrul • Hacettepe Üniversitesi Bilgisayar Mühendisliği • CISSP • Web / Mobil Uygulama Sızma Testleri • İzcilik, altyazı çevirmenliği, tarih araştırmaları Konuşmacı
- 3. Sunum İçeriği • Web / Mobil bankacılık uygulamalarında karşılaşılan güvenlik açıklıkları • Açıklığın genel çerçevesi • Oluşturabileceği riskler • Çözüm önerileri
- 4. Web / Mobil Uygulama Açıkları - 1 • Yama eksiklikleri – Desteklenmeyen Sürüm Kullanımı • Basit ama önemli • Gerçek durum senaryolarında ana kaldıraç noktası(yayınlanan güvenlik raporları, APT vb.) • Riskler • Uzaktan kod çalıştırma(Uzaktan erişim, DoS vb.) • Web config ele geçirme • Çözüm Önerileri • Patch Management(Change Management)
- 5. Web / Mobil Uygulama Açıkları - 2 • CSRF Açıklıkları • Oldukça yaygın • Yazılım geliştiricilerce cookie ile karıştırılması • Riskler • Kurbana bilgisi dışında işlem yaptırma • GET ve POST metodu farkı • Çözüm önerileri • Her istekte güncellenen bir token(OTP gibi)
- 6. Web / Mobil Uygulama Açıkları - 3 • Mobil cihazlarda açık olarak saklanan hassas bilgiler • Authentication bilgileri • Cookie bilgileri • Riskler • Cihaza fizikî erişim • Olası tehlikeli yazılımlar ve erişebildikleri kaynaklar • Çözüm Önerileri • Kriptolu saklama • Keychain(iOS)
- 7. Web / Mobil Uygulama Açıkları - 4 • JB ya da rootlu cihazlara uygulamanın yüklenebilmesi • İşletim sistemi açıklıklarından yararlanılarak yapılan root / JB işlemi • Riskler • Kötücül yazılım yükleme ihtimalinin artması • Uygulamanın cihazda tuttuğu verilerin çalınması(bir önceki bulguyla da artan etki) • Çözüm önerileri • JB / Root işlemi yapılan cihazlara engelleme
- 8. Web / Mobil Uygulama Açıkları - 5 • XSS (Cross-Site Scripting) • İstemci tarafında script çalıştırma • Reflected ve stored XSS • Riskler • Cookie çalınması • Çözüm Önerileri • Girdi validasyonu ve encoding • HttpOnly
- 9. Web / Mobil Uygulama Açıkları - 6 • Oturum yönetimi açıklıkları • Anonim fazdan tanılanmış faza geçiş • Çok faktörlü tanılamada karşılaşılan sorunlar • Riskler • Yetkisiz erişim ihlâlleri • DoS atakları(anonim erişilen yüksek boyutlu kaynaklar) • Regülasyon sorunları(Birden fazla faktör eksikliği) • Çözüm önerileri • Her fazda değişen oturum çerezi • Tanılama fazlarının kontrolü
- 10. Web / Mobil Uygulama Açıkları - 7 • Parola politikası • Bir diğer basit ama en çok sorun çıkaran nokta • Uzunluk politikası • Karmaşıklık politikası • Riskler • Kullanıcı hesabının ele geçirilmesi • Yetkisiz erişim ihlâlleri • Çözüm önerileri • Etkin parola politikasının uygulanması(Min. 8 karakter, büyük-küçük harf, özel karakter)
- 11. Web / Mobil Uygulama Açıkları - 8 • Yatay ve dikey erişim ihlâlleri • Aynı yetki seviyesindeki diğer kullanıcı kaynaklarına erişim • Üst yetki seviyesindeki kaynaklara erişim • Riskler • Yetkisiz erişim ihlâlleri • Gizlilik ve bütünlük ihlâlleri • Çözüm önerileri • İlgili fonksiyonlara sadece yetkili kullanıcılarca erişim sağlanması
- 12. Web / Mobil Uygulama Açıkları - 9 • Certificate Pinning(Mobil) • Güvenlik sertifikası iğnelenmesi • Sertifika otoritelerinden kaynaklı sorunlar • Mutual authentication • Riskler • İletişimin gizliliğinin ihlâli • Ortak internet erişim noktaları • Çözüm önerileri • Uygulama kaynak kodu içine hard-coded • Sertifikanın kendisi ya da Public Key’i
- 13. Web / Mobil Uygulama Açıkları - 10 • Dosya yükleme fonksiyonu açıklıkları(Backdoor shell) • Web / uygulamaya sunucuya zararlı dosya yüklenmesi(WAR) • Riskler • Sunucunun ele geçirilmesi • Veri sızması / sızdırılması • Çözüm önerileri • Tehlikeli karakterlerin kontrolü(Injection) • Dosya yükleme dizininin kontrolü(web-root) • En güncel sürüm kullanımı
- 14. Son Söz • Tespit edilen açıklıklar bütüncül olarak değerlendirilmeli • İki düşük kritiklikteki zafiyet daha büyük riskler oluşturabilir • Güncel sürümler kullanılmalı • Mantık hataları gözden geçirilmeli(ör. Bilet satın alma)