Desenvolvimento Seguro de Software - 10o Workshop SegInfo - Apresentação

Anlise de Cdigo e Segurana de SoftwarePor Davidson Boccardo Data: 23/11/2016

ClavisSegurana da informao

www.clavis.com.br

Green HatSegurana da Informao

whoamiDoutor em Engenharia Eltrica (UNESP/ULL)

Instrutor dos cursos de Forense, Testes de Invaso e de Desenvolvimento Seguro, Proteo de Software

Coordenador de projetos de pesquisa, orientador de alunos de mestrado/doutorado MPMQ/PPGI - mais de 50 artigos cientficos publicados

Entre 2007 e 2009 trabalhou no Software Research Lab da University of Louisiana at Lafayette, na qual se especializou em anlise esttica e dinmica de artefatos maliciosos

Entre 2010 e 2015 desenvolveu metodologias para o Servio de Avaliao de Produtos de Software no Laboratrio de Informtica da Diviso de Metrologia em Tecnologia da Informao e Telecomunicaes do Inmetro

02

DAVIDSON RODRIGO BOCCARDODIRETOR DO GREEN HAT LABS


Green HatSegurana da informao

www.clavis.com.br

Sobre a Green Hat

Anlise de SeguranaOrientada por Dados

Anlise de Cdigo e Segurana de Software

Auditorias Teste de Invaso

Forense Computacional

2009: empresa spin-off corporativa que nasceu a

partir de um grupo da Clavis Segurana da

Informao 2010: Framework de Teste de Invaso (FINEP) 2015: Auditoria de Cdigo-Fonte e Anlise Dinmica 2016: Anlise de Cdigo e Segurana de Software 2016: Anlise de Segurana Orientada por Dados

(FAPERJ)

Green Hat

01

Auditoria de Cdigo-Fonte Anlise dinmica


www.clavis.com.br

Segurana de Software

A economia e as defesas das naes dependem, em grande parte, da execuo de software confivel

Software onipresente! afeta todos os aspectos de nossas vidas pessoais e profissionais

Vulnerabilidades de software tambm so ubquas, comprometendo:

identidades pessoais

propriedade intelectual

confiana do consumidor

servios empresariais e operaes

infra-estruturas crticas e governo

03


www.clavis.com.br

Falhas crescentes envolvendo software 04

[GIZMODO, 2014] [FINANCIAL TIMES, 2014]


www.clavis.com.br


[SLASHDOT, 2012]

[REDDIT, 2014]

[THEGUARDIAN, 2013]


www.clavis.com.br


[NEWYORKTIMES, 2011] [FORBES, 2014]


www.clavis.com.br

Falhas de software so custosas 07

[NEWYORKTIMES, 2014]

[THE WALL STREET JORNAL, 2014]


www.clavis.com.br

Maioria das vulnerabilidades so causadas por erros de programao 64% das vulnerabilidades da base do NIST NVD 51% dessas so originadas em erros clssicos como buffer overflows, cross-site scripting, falhas de injeo

Vulnerabilidades mais comuns incluem: Integer overflow Buffer overflow Format string Autenticao ausente Autorizao ausente ou incorreta Confiar em entradas no-confiveis

08Origem das falhas de software


www.clavis.com.br

Comea com o entendimento de prticas de codificao inseguras e como podem ser exploradas

Projetos inseguros podem levar a erros intencionais, ou seja, o cdigo est corretamente implementado, mas o software resultante vulnervel

Projetos seguros exigem um entendimento dos requisitos de

software funcionais e no-funcionais

Codificao segura exige um

entendimento especfico de cada

linguagem de programao

09Desenvolvimento de Software Seguro


www.clavis.com.br

Fontes de Insegurana em Software

Consideraes mnimas ou ausentes de segurana durante todo o ciclo de vida do software

Complexidade, mudanas, suposies incorretas

No pensar como um atacante

Especificaes e projetos falhos

Implementao pobre das interfaces de software

Interaes inesperadas e no-intencionais

Conhecimento inadequado de prticas de codificao segura

10


www.clavis.com.br

11

Anlise de requisitos de segurana e arquitetura de software

Inspeo de cdigo e programao segura

Anlise de fluxo de controle e de dados

Anlise de vulnerabilidades (CWE/SANS Top 25, OWASP Top 10)

Anlise dinmica de software e testes funcionais

Proteo de Software

Ofuscao, Incorruptibilidade e Marca d'gua

Anlise de Cdigo e Segurana de Software


www.clavis.com.br

Anlise de Requisitos de Segurana e Arquitetura de Software 12

Requisitos gerais de segurana

Confidencialidade, integridade e disponibilidade

Ambiente de implantao, arquivamento, anti-pirataria

Gerenciamento de sesses, gerenciamento de erros e excesses, gerenciamento de parmetros de configurao

Arquitetura de segurana

Princpios bsicos de projeto seguro: reduo das superfcies de ataque, falha segura, defesa em profundidade, privilgio mnimo, separao de deveres, etc

Utilizao correta de algoritmos criptogrficos e protocolos de segurana


www.clavis.com.br

Inspeo de Cdigo e Programao Segura13Anlise do Fluxo de Controle: Rastreabilidade de Software


www.clavis.com.br

14Inspeo de Cdigo e Programao SeguraAnlise do Fluxo de Controle: Funcionalidades Escondidas


www.clavis.com.br

15Inspeo de Cdigo e Programao SeguraOrientaes para Codificao Segura


www.clavis.com.br

16

Um estouro de buffer ocorre quando dados so gravados fora dos limites da memria alocada para uma estrutura de dados especfica

Inspeo de Cdigo e Programao SeguraAnlise de Vulnerabilidades: Buffer overflow

Origem

Destino

16 Bytes

Memria Alocada Memria Adjacente

Montparnasse derailment [1895]


www.clavis.com.br

17Inspeo de Cdigo e Programao SeguraAnlise de Vulnerabilidades: Buffer overflow

Ocorre quando o limite de buffer negligenciado e no-verificado

Pode ocorrer em qualquer segmento de memria

Pode ser explorado para modificar:

varivel

ponteiro de dados

ponteiro de funo

endereo de retorno na pilha


www.clavis.com.br


printf(Nome:.\n"); rc = scanf("%s", registro[idx].nome);

if (rc != 1) {

printf(Entrada invlida.\n");

exit(1);

}


www.clavis.com.br


printf(Nome:.\n"); rc = scanf("%s", registro[idx].nome);

if (rc != 1) {


exit(1);

} Captura at acabar a entrada ouencontrar um espao


www.clavis.com.br


void* rp;

...

printf(Nome:.\n");

rp = fgets(registro[idx].nome, sizeof(registro[idx].nome), stdin);

if(rp == NULL) {


exit(1);

} Captura at acabar a entrada ou

atingir o limite do buffer


www.clavis.com.br

21

Uma entrada de usurio maliciosa enviada para algum processador:

Inspeo de Cdigo e Programao SeguraAnlise de Vulnerabilidades: Injeo

Processador Tipo de Injeo

HTML Parser (inc. navegador) Cross-Site Scripting (XSS)

Shell OS Command

C printf () Format String

Banco de Dados SQL

Funo de acesso a arquivo (fopen()) Pathname


www.clavis.com.br

22Inspeo de Cdigo e Programao SeguraAnlise de Vulnerabilidades: Injeo SQL

Programas devem tomar medidas para garantir que quaisquer dados que cruzem uma fronteira de confiana sejam apropriados e no-malicioso


www.clavis.com.br


boolean isPasswordCorrect(String name, char[] password) throws SQLException, ClassNotFoundException {

Connection connection = getConnection(); ...

String pwd = new String(password);

String sqlString = "SELECT * FROM Users WHERE name = ' + name + "' AND password = '" + pwd + "'";

Statement stmt = connection.createStatement();

ResultSet rs = stmt.executeQuery(sqlString);

if (!rs.next())

return false;

}


www.clavis.com.br







if (!rs.next())

return false;

}



www.clavis.com.br







if (!rs.next())

return false;

}


name e password no foram tratados!


www.clavis.com.br




String sqlString = "SELECT * FROM Users WHERE name=? AND password=?";

PreparedStatement stmt = connection.prepareStatement(sqlString);

stmt.setString(1, name);

stmt.setString(2, pwd);ResultSet rs = stmt.executeQuery();

if (!rs.next()) {

return false;

}


sanitizao da entrada =)


www.clavis.com.br

27Inspeo de Cdigo e Programao SeguraAnlise Dinmica: Anlise do Fluxo de Controle e Dados


www.clavis.com.br

28Inspeo de Cdigo e Programao SeguraAnlise Dinmica: Propagao de Atributos e Execuo Simblica


www.clavis.com.br

29

Resistir engenharia reversa esttica e dinmica

Resistir modificaes no autorizadas

Resistir clonagem de software

Resistir ao spoofing

Esconder segredos estticos e dinmicos (criao, transmisso, utilizao)

Impedir a distribuio de programas crackeados

Ofuscao proteo contra engenharia reversa

Incorruptibilidade proteo contra modificao/monitoramento

Marca dgua identificao de autoria e rastreamento de propriedade

Proteo de Software


www.clavis.com.br

30

Ofuscao

Marca dgua Incorruptibilidade

Proteo de Software


www.clavis.com.br

Ofuscao: movfuscator

The M/o/Vfuscator compiles programs into "mov" instructions, and only "mov" instructions. Arithmetic, comparisons, jumps, function calls, and everything else a program needs are all performed through mov operations; there is no self-modifying code, no transport-triggered calculation, and no other form of non-mov cheating

31


www.clavis.com.br

Movfuscator: Grafo de Fluxo de Controle 32


www.clavis.com.br

Incorruptibilidade 33


www.clavis.com.br

Marca dgua e Impresso Digital 34

Como?Para qu?


www.clavis.com.br

Marca dgua e Impresso Digital: CFG 35


www.clavis.com.br

Concluses

A iminncia de falhas de software em infraestruturas crticas, aplicaes e servios aumenta a necessidade de

Novas regulamentaes referentes segurana de software

Servios, metodologias e ferramentas para avaliao de segurana

Treinamento/conscientizao em desenvolvimento seguro

36

Green HatSegurana da informao

www.clavis.com.br

Muito Obrigado!

37

[email protected]

Davidson R. BoccardoDiretor do Green Hat Labs

Desenvolvimento Seguro de Software - 10o Workshop SegInfo - Apresentação

Technology

Transcript of Desenvolvimento Seguro de Software - 10o Workshop SegInfo - Apresentação

Apresentação SegInfo

A maldição do local admin - 10o Workshop SegInfo - Apresentação

Workshop Scrum

Elog workshop workshop plataforma logística intermodal de sete lagoas

Mfv workshop

Exercicios de Fisica de 10o-11o

Workshop 05

Segurança da informação e comunicações na administração pública federal - Gerson Charbel (DSIC) - V SegInfo (2010)

Workshop fmea

Workshop ExtJS4

Utilizando padroes abertos para coleta de informacoes e assessment em ativos tecnologicos - Igor Devulsky Prata (Módulo) - V SegInfo (2010)

V SEGINFO - “Auditoria de Aplicações Web”

Primeira Aula SegInfo - fredsauer.com.br · –Professor Convidado FGV Management –Gerente de TI de 90 a 2010 –Auditor de SegInfo na Marinha de 99 a 2010 . ... •Para tratar

OBrasilPodeRepe/roMilagreEconômico ...eesp.fgv.br/sites/eesp.fgv.br/files/file/Seminário 10o...Introdução" PAÍSES& PERÍODO& BRASIL& 1971"–1982 " CHINA& 1984"–2011 " COREIADO&SUL&

Convite de Patrocinio Workshop Seginfo 2013

UMA INICIATIVA - OPEN SPIN.pdf4.Workshop 4 - Modelo de Negócio 5.Workshop 5 - Propriedade Intelectual 6.Workshop 6 - Roadmap Empreendedor 7.Workshop 7 - Plano Estratégico e Operacional

Midiakit seginfo v05

Resposta a Incidentes no Brasil: Situação Atual e o Papel ... · Workshop de Seginfo – ABIN – Jun/2004 – p.5/29. Missão do NBSO CSIRT responsável por receber, analisar e

10o CBTIM_Ferramentas da web 2.0 com função pública

Conduzindo mais alto a Bandeira do Brasil: reprodução de ......de Alvos. Ao seu lado, estava o Segundo Esquadrão do 10o Grupo de Aviação (2o /10o GAV), de Busca e Salvamento,