Pagina De Internet

A8 – ALMACENAMIENTO CRIPTOGRÁFICO INSEGURO
Proteger datos delicados con criptografía se ha convertido una parte clave de la mayoría de las aplicaciones Web.
Simplemente no cifrar datos delicadosestá muy extendido. Aplicaciones que sí cifran, frecuentemente contienen
criptografía mal diseñada, ya sea usando sistemas de cifrado no apropiados o cometiendo errores serios al usar
algoritmos decifrado sólidos. Estos defectos pueden conducir a la revelación de datos delicados y violaciones de
cumplimiento de estándares.
ENTORNOS AFECTADOS
Todos los entornos de aplicaciones Web sonvulnerables al almacenamiento criptográfico inseguro.
VULNERABILIDAD
La prevención de fallas criptográficas conlleva una cuidadosa planeación. Los problemas más comunes son:
No cifrar datos delicados.Usar algoritmos creados a la medida.
Uso inseguro de algoritmos sólidos.
Continuar utilizando algoritmos débiles (MD5, SHA-1, RC3, RC4, etc…)
Incrustar llaves en el código fuente y almacenar lasllaves en forma insegura.
VERIFICANDO LA SEGURIDAD
El objetivo es verificar que la aplicación cifra adecuadamente información sensible en almacenamiento.
Enfoques automáticos: Herramientas deexploración de vulnerabilidades no pueden comprobar almacenamiento
criptográfico en absoluto. Herramientas de exploración de código pueden detectar el uso de la API criptográfica
conocida, pero no puedendetectar si esta siendo utilizado debidamente o si el cifrado se realiza en un
componente externo.
Enfoques manuales: Al igual que la exploración, las pruebas no pueden verificar el almacenamientocriptográfico.
La revisión de código es la mejor manera de comprobar que una aplicación codifica datos delicados y tiene
implementado adecuadamente el mecanismo y la gestión de llaves. En algunoscasos esto puede involucrar el
examinar la configuración de sistemas externos.
PROTECCIÓN
El aspecto más importante es asegurar que todo lo que debería ser cifrado sea en realidad cifrado....