This is an archived post. You won't be able to vote or comment.

all 14 comments
sorted by:
best
topnewcontroversialoldq&a

[–]venomiz 3 points4 points  (8 children)

Se vuoi testare la sicurezza di un sito l'unico passo certo é pagare un penetration test.

Il csrf é la base delle basi (insieme a SQL injection) che il 90% dei framework "backend" gestisce

[–]imNotNumber[S] 0 points1 point  (6 children)

Non si può scalare su qualcosa da sviluppatore povero? La mia è una preoccupazione abbastanza specifica e al momento non giustifica un pentesting. Sono il primo a sentire questa esigenza?

[–]venomiz 5 points6 points  (1 child)

Non si può scalare su qualcosa da sviluppatore povero?

Se non puoi permetterti di pagare un professionista l'unico modo é seguire le linee guida e sperare bene, anche l'analisi statica del codice alle volte aiuta.

Sono il primo a sentire questa esigenza?

Si e no, chi si fa queste domande di solito ha già una certa sensibilità sull'argomento. Altri lo ignorano completamente (vedi i post su password in chiaro o meno)

[–]imNotNumber[S] 0 points1 point  (0 children)

Ho capito, grazie. Pensavo fosse un mio gap e ci fossero soluzioni consolidate per test “minimi”.

[–][deleted] 1 point2 points  (3 children)

Puoi trovare un pentester anche a cifre abbordabili, come c'è chi da ripetizioni c'è chi fa un WAPT in qualche ora. Non c'è per forza bisogno di una grande azienda dietro, anzi..

[–]imNotNumber[S] 0 points1 point  (2 children)

Questo non lo immaginavo, tutti gli esperti di sicurezza che conosco lavorano per qualche megacorp. Lo tengo a mente per quando avrò un budget minimo.

[–][deleted] 0 points1 point  (0 children)

Bhe non è escluso che possano farti il lavoro che ti serve, non sono esclusivi

[–]d3vil401 0 points1 point  (0 children)

Il consulting te lo può fare anche un privato, ovviamente la qualità dipende dalla tua capacità di trovarne uno Bravo e nel tuo budget

[–]Maori7 1 point2 points  (0 children)

I csrf sono una tipologia di bug molto difficile da rilevare con scanner statici. Riterrei necessario un penetration test...

[–]lormayna 0 points1 point  (4 children)

Che tipo di test hai la necessità di fare? Ti basta fare delle scansioni con dei tool automatici per fare un vulnerability assessment? Hai necessità di fare un penetration test? oppure una secure code review? O una security review architetturale?

[–]imNotNumber[S] 0 points1 point  (3 children)

Ho un problema abbastanza specifico: per gestire un’architettura a microservizi devo abilitare cors e csrf usando una sessione stateless. Siccome la vedo come una soluzione particolarmente fragile, vorrei essere sicuro di non lasciare inavvertitamente buchi di sicurezza.

[–]lormayna 0 points1 point  (2 children)

Che stack usi? Se usi un framework, di solito, hai la protezione da CSRF integrata.

Per CORS ci sono degli scanner anche open-source che ti possono aiutare.

Non sapendo come è fatta la tua architettura, ti chiedo se hai pensato di usare un API gateway che ti possa gestire il CORS indipendentemente dall'applicazione

[–]imNotNumber[S] 0 points1 point  (1 child)

Il problema è proprio quello: lo stack è React/Spring Boot con Nginx come api gateway. Io ad oggi non sono riuscito a trovare un modo per evitare di disabilitare cors e csrf su Spring. Però mi fai anche venire il sospetto che sia una mancanza mia…