Arquitectura de las aplicaciones web n-CAPAS MVC Servicios web

Arquitectura de las aplicaciones web

[1.1] ¿Cómo estudiar este tema?

[1.2] Introducción. Problemas de seguridad de las aplicaciones

[1.3] Arquitecturas y tecnologías de desarrollo de las aplicaciones web [1.4] Arquitecturas y tecnologías de desarrollo de los servicios web [1.5] Problemas de seguridad en las aplicaciones web

[1.6] Seguridad en el cliente, navegadores web, concepto de sandbox

[1.7] Seguridad en los servidores de aplicaciones [1.8] Seguridad en la comunicación[pic 2]

[1.9] Seguridad física y del personal

[1.10] Seguridad en la aplicación. Actividades de seguridad en el SSDLC

[pic 3]

[pic 4][pic 5][pic 6][pic 7][pic 8][pic 9][pic 10][pic 11]

[pic 12][pic 13]

[pic 14]

[pic 15][pic 16]

[pic 17][pic 18]

Ideas clave        

1. ¿Cómo estudiar este tema?

[pic 19]

En este tema analizaremos, de forma introductoria desde el punto de vista de la seguridad:

[pic 20]

Las arquitecturas, patrones de diseño, tecnologías y lenguajes de desarrollo de las aplicaciones web:

• Arquitecturas de varias capas.
• Patrones de diseño: MVC
• Tecnologías y lenguajes de desarrollo: J2EE, .NET
• WEB 2.0. Arquitectura de clientes enriquecidos: AJAX, FLASH, JSON

Actividades de seguridad en el Ciclo de Vida de Desarrollo seguro, SSDLC.[pic 21]

Actividades de seguridad en fase de producción online.[pic 22]

1. Introducción. Problemas de seguridad de las aplicaciones

Este punto es un resumen de los principales problemas de seguridad que tienen las

aplicaciones:

Problemas de diseño Problemas de implementación Problemas de operación[pic 23][pic 24][pic 25]

Estos problemas dan lugar diferentes tipos de ataques que implican, por un lado, abordar el diseño seguro de una aplicación web con almacén de datos desde el comienzo del Ciclo de Vida de Desarrollo Seguro de Aplicaciones (SSDLC), y por otro lado, a afrontar la gestión de la seguridad una vez desplegada en la fase de producción de la aplicación.

Una aplicación ha de cumplir con los objetivos de seguridad para los sistemas de información y comunicaciones TIC:

Identificar a las personas que acceden a la información manejada por un sistema o a los recursos del mismo.[pic 26]

Autenticar a las personas que acceden a la información manejada por un sistema o a los recursos del mismo.[pic 27]

Controlar el acceso a la información manejada por un sistema o a los recursos del mismo.[pic 28]

Proporcionar confidencialidad a la información manejada por un sistema. Proporcionar integridad a la información manejada por un sistema o a los recursos del mismo.[pic 29][pic 30]

Mantener la disponibilidad de la información manejada por un sistema o de los recursos del mismo.[pic 31]

No repudio. Proporcionar la prueba de que una determinada transmisión o recepción ha sido realizada, no pudiendo su receptor/transmisor negar que se haya producido[pic 32]

Trazabilidad. Proporcionar los controles que determinen que en todo momento se podrá determinar quién hizo qué y en qué momento.[pic 33]

Los principales problemas de seguridad que pueden impedir los objetivos anteriormente citados que las aplicaciones pueden sufrir, tienen su origen en las deficiencias y fallos que se produjeron en cada una de las fases del ciclo de vida de desarrollo de software.

Existen, por tanto:

Vulnerabilidades de seguridad en el de diseño. Vulnerabilidades de seguridad en el código.[pic 34][pic 35]

Problemas funcionales de seguridad como autorización, control de accesos, etc. Vulnerabilidades de seguridad debidos a fallos de configuración.[pic 36][pic 37]

Problemas de seguridad debidos a la gestión de la seguridad una vez desplegada la aplicación.[pic 38]

Estas vulnerabilidades de distinta naturaleza pueden dar lugar a la materialización de amenazas constituyendo ataques a la aplicación como:

Stealing Passwords Social Engineering Bugs and Back Doors Authentication Failures Protocol Failures Information Leakage[pic 39][pic 40][pic 41][pic 42][pic 43][pic 44]

Exponential Attacks Viruses and Worms Denial-of-Service Attacks[pic 45][pic 46]

Botnets Active Attacks[pic 47][pic 48]

En sentido general, un ataque contra un sistema es cualquier acto malévolo previsto contra un sistema o un conjunto de sistemas. Hay dos conceptos muy importantes en esta definición que merece la pena precisar. Primero, decimos solamente que el acto está realizado con intención malévola, sin especificar ningunas metas u objetivos. En segundo lugar, algunos ataques se dirigen en un sistema particular, mientras que otros no tienen ningún objetivo en particular. Los ataques pueden ser debidos a defectos, que pueden tener lugar en cualquiera de las fases del ciclo de vida de construcción del software. A continuación, se presentan unos cuantos ejemplos de ataques debidos a defectos de seguridad en el diseño, en la  implementación y en la operación.

...