기계적 인조 인간

보안 위험에 처한 비즈니스 프로세스 결함

[화이트보드]가상화 환경의 스토리지 ‘IP SAN’을 선택하는 이ìœ

[화이트보드]가상화 환경의 스토리지 ‘IP SAN’을 선택하는 이ìœ
Anonim

안전한 웹 사이트를 운영한다는 것은 단순히 사이트 간 스크립팅 및 SQL 삽입 공격을 막는 것 이상의 의미를가집니다. 웹 사이트의 기반이되는 비즈니스 프로세스의 결함은 또한 심각한 보안 위험을 나타낼 수 있다고 웹 보안 회사의 CTO는 목요일에 말했습니다. 웹 사이트의 프로세스 또는 비즈니스 로직의 결함은 해커에게 매우 유익한 것으로 입증 될 수 있으며, 기술을 이용하고 기술을 활용하는 것이 불법이 아니라고 Whitehat Security의 CTO 인 Jeremiah Grossman이 Source Boston Security Showcase에서 말했습니다. "이 문제는 당신이 무엇을 찾아야하는지 알면 공통적입니다.

[추가 정보: Windows PC에서 악성 코드 제거 방법]

그는 웹 사이트 디자인, 보안 문자 인증 시스템 및 사용자 권한에서 발견되는 것들을 포함하여 이러한 결함에 대한 몇 가지 예를 제시했습니다. 때로는 기소를 받기도하지만, 서비스를 이용하는 사람들은 종종 서비스 사용을 단순하게 금지 당합니다.

2007 년 한 여성은 비즈니스 논리의 결함을 악용하여 412,000 달러 중 QVC를 사칭했다고 비난 받았습니다. 그녀는 홈쇼핑 네트워크에 1,800 개의 품목을 주문한 후 웹 사이트에서 주문을 취소했습니다. 그녀는 상품 반환에 대한 크레딧을 받았지만 그 상품은 그녀에게 어쨌든 보내졌고 그녀는 이베이 (eBay)에 그들을 판매했다고 법무부가 말했다. QVC는 이베이 (eBay) 사용자가 패키지에있는 항목을 계속 받았다는 사실을 알게되었을 때이 사실을 알게되었습니다. 피해자에 대한 유죄 판결을받은 여성은 결국 유죄 선고를받습니다.

비밀번호 재설정 기능을 사용하면 분명한 질문을하고 해커가 희생자에 관한 사소한 정보를 가지고있는 경우 무단 계정 액세스가 발생할 수 있습니다. Grossman은 이전의 모바일 서비스 제공 업체 인 Sprint와 관련된 사례를 제시했습니다. 암호를 재설정하기 위해 그는 해커가 사람의 휴대 전화 번호와 그들이 살았던 곳이나 그들이 몰 았던 차와 같은 기본적인 정보만을 알아야한다고 말했다. 이로 인해 해커가 피해자의 이름으로 새 전화를 주문하거나 휴대 전화에 새 서비스를 설치할 수있었습니다.

전자 쿠폰은 쿠폰 번호가 순차적으로 근접하면 판매자에게 위험을 초래할 수 있습니다. 한 소매 업체는 해커가 불과 몇 자릿수 차이가 나는 쿠폰 번호를 밝히기위한 스크립트를 작성한 후 몇 달러에 팔린 고가품 중 일부를 보았다고 그로스 만은 전했다. 소매 업체는 해커의 스크립트가 실행되는 동안 시스템 로그에 야간에 처리되는 많은 주문이 있음을 발견하면 문제를 발견했습니다.

해커는 다른 웹 서퍼에게 Captcha 테스트를 해결하도록 웹 사이트에 유혹 할 수 있습니다. 음악 또는 성인용 콘텐츠. Captchas는 사람이 웹 전자 메일 계정과 같은 서비스에 가입하기 위해 뒤죽박죽 된 문자열을 해독 할 것을 요구합니다. 웹 서퍼는 Captchas를 해커에게 보내 프록시 서버를 통해 해커에게 보내어 해커가 스팸이나 다른 활동을 보내기 위해 여러 개의 전자 메일 계정에 등록하도록합니다.

"충분한 사용자가있는 한 귀하의 웹 사이트에 Captcha가 해결되었습니다. "라고 Grossman은 말했습니다. "악의적 인 사람들은이 Captchas를 물리 치고 우리를 스팸 할 수 있습니다."또 다른 결함은 웹 사이트의 특정 부분에 대한 로그인이나 암호가있을 때 사용자가 웹 사이트의 모든 부분에 액세스 할 수 있도록 허용하는 것입니다. 예를 들어, 에스토니아 회사의 직원은 2004 년 Business Wire 보도 자료 서비스에 등록했습니다. 사이트의 URL에 아직 공개되지 않은 보도 자료에 대한 정보가 포함되어있는 것으로 파악되었습니다. 회사의 직원은 URL을 검색하는 프로그램을 사용하여 민감한 비즈니스 및 재무 정보를 발견 할 수있었습니다. 이 정보를 기반으로 주식을 매매 한 후 종업원은 780 만 달러를 벌었지만 미국 규제 당국에 사기 혐의로 타격을 입혔습니다.

그는 가해자가 잡히지 않았습니다.

웹 보안은 품질 보증을 뛰어 넘어 웹 애플리케이션을 적절하게 설계하여 서비스 운영 방식을 포함시키는 것이라고 그는 말했다.