OWASP Top 10

Il Progetto di sicurezza di un'applicazione Web aperta (OWASP) mantiene un elenco dei 10 principali rischi di sicurezza dell'applicazione Web principali.

Questi sono elencati di seguito, insieme a una spiegazione di come CRX tratta con loro.

1. Iniezione

• SQL - Preventivo della progettazione: La configurazione predefinita dell’archivio non include né richiede un database tradizionale, tutti i dati vengono memorizzati nell’archivio dei contenuti. L’accesso è limitato agli utenti autenticati e può essere eseguito solo tramite l’API JCR. SQL supportato solo per le query di ricerca (SELECT). Inoltre, SQL offre il supporto per il binding dei valori.
• LDAP - L'inserimento LDAP non è possibile, in quanto il modulo di autenticazione filtra l'input ed esegue l'importazione dell'utente utilizzando il metodo bind.
• Sistema operativo: nessuna esecuzione della shell eseguita dall'interno dell'applicazione.

2. Script tra siti (XSS)

La pratica generale di mitigazione è quella di codificare tutti gli output di contenuti generati dall'utente utilizzando una libreria di protezione XSS lato server basata su OWASP Encoder e AntiSamy.

XSS è una priorità assoluta sia durante i test che durante lo sviluppo e tutti i problemi rilevati vengono (in genere) risolti immediatamente.

3. Autenticazione non riuscita e gestione delle sessioni

AEM utilizza tecniche di autenticazione sonore e comprovate, che si basano su Apache Jackrabbit e Apache Sling. Le sessioni browser/HTTP non sono utilizzate in AEM.

4. Riferimenti agli oggetti diretti non sicuri

L’accesso a tutti gli oggetti dati viene mediato dall’archivio e quindi limitato dal controllo degli accessi basato su ruoli.

5. Forgeria di richiesta intersito (CSRF)

Il CSRF (Cross-Site Request Forgery) è mitigato dall’inserimento automatico di un token di crittografia in tutti i moduli e le richieste di AJAX e dalla verifica di tale token sul server per ogni POST.

Inoltre, AEM viene fornito con un filtro basato sull’intestazione del referente, che può essere configurato su only per consentire le richieste POST da host specifici (definito in un elenco).

6. Configurazione errata della sicurezza

È impossibile garantire che tutto il software sia sempre configurato correttamente. Tuttavia, ci sforziamo di fornire il maggior numero possibile di indicazioni e rendere la configurazione il più semplice possibile. Inoltre, AEM viene fornito con controlli di sicurezza integrati che consentono di monitorare immediatamente la configurazione della sicurezza.

Per ulteriori informazioni, consulta la Lista di controllo sicurezza che fornisce istruzioni dettagliate per l'indurimento dei passaggi.

7. Archiviazione crittografica non sicura

le password sono memorizzate come hash di crittografia nel nodo utente; per impostazione predefinita tali nodi sono leggibili solo dall’amministratore e dall’utente stesso.

I dati sensibili, come le credenziali di terze parti, vengono memorizzati in formato crittografato utilizzando una libreria di crittografia certificata FIPS 140-2.

8. Errore nel limitare l'accesso agli URL

L'archivio consente l'impostazione di privilegi a grana fine (come specificato da JCR) per qualsiasi utente o gruppo in un dato percorso, attraverso le voci di controllo degli accessi. Le restrizioni di accesso sono applicate dall’archivio.

9. Protezione insufficiente dello strato di trasporto

È attenuata dalla configurazione del server (ad esempio, utilizza solo HTTPS).

10. Reindirizzamenti e inoltri non convalidati

È possibile attenuare la limitazione di tutti i reindirizzamenti alle destinazioni fornite dall’utente nelle posizioni interne.