Sicurezza delle applicazioni web

Il 2 ottobre 2008, presso la Scuola Superiore dell'Amministrazione dell'Interno, Vincenzo Calabrò ha tenuto un seminario dal titolo «Sicurezza delle applicazioni web», dedicato alla sicurezza applicativa e alla web security. Il seminario adotta un approccio dall'alto, che parte dalla visione complessiva del problema prima di entrare nelle singole vulnerabilità.

Le slide partono dall'approccio dall'alto: la difficoltà di avere una visione completa del problema quando l'analisi procede per settori separati, trascurando chi si occupa dello sviluppo applicativo. Dopo lo schema di un'applicazione web e di un caso generale, vengono fissati i requisiti di sicurezza e le linee guida. Seguono le minacce e le contromisure: data validation e metacaratteri, web spidering, cross-site scripting, SQL injection, comandi al sistema operativo, minimi privilegi, path traversal, site crawling, sessioni e session hijacking, logging. La parte centrale tratta autenticazione e autorizzazioni, con i modelli DAC, MAC e RBAC e un esempio di SSO web applicativo con federazione di sessioni. La presentazione si chiude con architetture, pattern, transazioni, messaging, enterprise scheduling, ausili allo sviluppo come SCM e analisi di impatto, e integrazioni applicative.

Le slide del seminario, 62 pagine in PDF, vanno dai requisiti di sicurezza e dalle principali vulnerabilità delle applicazioni web fino alle architetture e agli ausili allo sviluppo.