Risorse / materiali per l'implementazione di servizi Web sicuri?

5

Sto implementando una API web in stile REST (nota: deve essere più pragmatica di quella canonica) e vorrei garantirla. Il linguaggio che sto usando è piuttosto nuovo e non ha molti moduli di sicurezza pre-made di alta qualità come, ad esempio, Rails 'Devise, e quindi devo girare il mio. Penso anche che questa sia un'ottima opportunità di apprendimento, quindi perché no.

Gli scenari di base di cui ho bisogno per lavorare sono:

  • accesso protetto attraverso il web
  • accedi per utenti mobili utilizzando la stessa API
  • ACL basati su chi è l'utente

Non avendo mai implementato nessuno dei precedenti a mano, non conosco le migliori pratiche. Purtroppo non sono riuscito a trovare alcuna buona risorsa che avrebbe tutorial / guide su come alcune di queste forme di base della sicurezza web sono implementate.

Ad esempio, quale è un buon esempio di autenticazione basata su cookie, cosa memorizzi nel token rimasto nel browser dell'utente ecc. ecc. Non ho scoperto nulla di solido attraverso Google, sorprendente dato che deve essere una delle implementazioni più comuni per la maggior parte dei siti web.

Consigli?

Grazie!

    
posta glitch 03.05.2013 - 21:13
fonte

1 risposta

5

La maggior parte dei OWASP top 10 si applica ancora ai servizi web. Una risorsa più dettagliata sarebbe la Guida di Mozilla WebAppSec .

I servizi web "RESTful" non dovrebbero avere un "token di sessione". Correlato: " Le sessioni violano realmente RESTfulness? " Tuttavia alla fine della giornata tu bisogno di un qualche tipo di token per scopi di autenticazione.

In breve, se stai scrivendo un gestore di sessioni per risolvere un problema del mondo reale stai sbagliando . L'ultima cosa di cui abbiamo bisogno è un'altra reinvenzione della ruota. Se stai scrivendo un gestore di sessioni ai fini dell'educazione, allora questo è un grande strumento di apprendimento! La Guida di Mozilla WebAppSec e Il cheat sheet di OWASP Session Management ha requisiti dettagliati per un gestore di sessioni sicuro.

    
risposta data 03.05.2013 - 22:03
fonte

Leggi altre domande sui tag