Security should be Simple
หลายๆคนอาจจะเคยได้ยินคำว่า “SAML“, “แซมแอล“, “เอส เอ เอ็ม แอล” บ่อยๆ แต่อาจจะไม่รู้ว่ามันคืออะไร ทำงานยังไง วันนี้จะขอแนะนำข้อมูลและวิธีการทำงานคร่าวๆ ของ “SAML” หรือ “แซมแอล” ให้ฟังนะครับ
SAML เป็นมาตรฐานที่มีมานานมากตั้งแต่ก่อนมี OAuth และ OpenID โดยเป็นมาตรฐานด้าน Authentication และ Authorization มาตั้งแต่ปี 2001 และถูกพัฒนาขึ้นมาเรื่อยๆ จนในปี 2005 ก็ Publish SAML 2.0 ออกมาซึ่งถูกใช้งานมาจนถึงปัจจุบันนี้ครับ
จากบทความ Domain Name System (DNS) คืออะไร และ ทำงานอย่างไร (Part 1: Concept) ได้อธิบายการทำงานและความสำคัญของ DNS จะเห็นได้ว่า DNS เปรียบเสมือนประตูสู่อินเทอร์เน็ตของเครื่องคอมพิวเตอร์และอุปกรณ์สื่อสาร เนื่องจากการเข้าถึงเว็บไซต์หรือบริการบนอินเทอร์เน็ตต่างพึ่งพาการแปลง domain name ให้เป็น IP address ทั้งนั้น ในบทความนี้จะอธิบายถึงนรูปแบบการโจมตี DNS และผลกระทบที่อาจจะก่อให้เกิดกับเว็บแอปพลิเคชัน
Unvalidated Redirects and Forwards (URF) เป็นช่องโหว่ด้านความปลอดภัยที่เว็บแอปพลิเคชันเปิดโอกาสให้ผู้ไม่หวังดีทำการ redirect หรือ forward ผู้ใช้งานไปยังเว็บไซต์อื่น แม้ว่าการ redirect นั้นจะเป็นเหมือนพฤติกรรมปกติ แต่การที่เว็บไซต์ที่มีความน่าเชื่อถือทำการ redirect ผู้ใช้งานไปดาวโหลดไฟล์ virus หรือ malware อาจสร้างความเสียหายให้กับทั้งตัวผู้ใช้งานเองและเว็บไซต์หาก user account ถูกโจรกรรม บทความนี้จะอธิบายถึงช่องโหว่ประเภท URF และแนวทางในการป้องกัน
Using Components with Known Vulnerabilities (UCKV) เป็นช่องโหว่ที่พบเจอได้บ่อยที่สุดในช่องโหว่เกือบทุกชนิด ช่องโหว่ประเภทนี้เกิดจาการที่ผู้พัฒนาเว็บแอปพลิเคชันมีการใช้ library framwork ฯลฯ ที่มีช่องโหว่ที่เป็นที่รู้จัก ปัจจุบันเว็บแอปพลิเคชันมีความซับซ้อนและมีส่วนประกอบจำนวนมาก การเฝ้าคอย update security patch ของทุกส่วนนั้นกลายเป็นงานที่ท้าทาย บทความนี้จะอธิบายถึงช่องโหว่ประเภท UCKV ตัวอย่างช่องโหว่ และแนวทางในการป้องกันช่องโหว่ประเภทนี้
Cross-site Request Forgery (CSRF) เป็นช่องโหว่ที่น่าสนใจเป็นอันดับต้น ๆ เพราะว่าเป็นช่องโหว่ที่สามารถพบเจอได้ง่าย สามารถสร้างความเสียหายให้กับผู้ใช้งานได้โดยที่ไม่ต้องใช้เทคนิคที่ซับซ้อน CSRF เคยถูกจัดให้อยู๋ในอันดับที่ 5 ใน OWASP TOP 10 2010 และถูกลดลำดับลงมาให้อยู่ในอันดับ 8 ใน OWASP TOP 10 2013 อันเนื่องมาจากความตื่นตัวของผู้พัฒนาเว็บแอปพลิเคชัน ในบทความนี้จะอธิบายถึงการทำงานและ YouTube case study ของช่องโหว่ประเภท CSRF
Missing Function Level Access Control (MFLAC) เป็นช่องโหว่ที่ส่วนใหญ่เกิดจากความผิดพลาดในการทำ authorization เช่น มีการทำตรวจสอบการ login แต่ไม่ได้ตรวจสอบว่ามีสิทธิ์ในการเข้าใช้งานในส่วนผู้ดูแลระบบ ทำให้ผู้ใช้งานทั่วไปสามารถเข้าไปใช้งานในส่วนของผู้ดูแลระบบได้ MFLAC เป็นช่องโหว่ที่เกิดขึ้นได้บ่อยโดยเฉพาะเว็บแอปพลิเคชันที่มีความซับซ้อน บทความนี้จะอธิบายถึงลักษณะของช่องโหว่และแนวทางในการป้องกัน
Sensitive Data Exposure เป็นช่องโหว่ที่เกิดขึ้นกับข้อมูลเป็นหลัก ช่องโหว่ประเภทนี้เกิดได้การที่เว็บแอปพลิเคชันมีช่องโหว่ที่อนุญาตให้ผู้ไม่หวังดีเข้าถึงข้อมูลที่เป็นความลับ ซึ่งเกิดได้จากหลายกรณี เช่น การใช้ encrpytion algorithm ที่ไม่แข็งแรง ไม่เข้ารหัสข้อมูลขณะส่ง (ไม่ใช้ HTTPS) และ การเก็บข้อมูล backup ไม่ปลอดภัยเป็นต้น ในบทความนี้จะอธิบายถึงช่องโหว่ประเภทนี้และวิธีการป้องกันเบื้อต้น
Security Misconfiguration เป็นช่องโหว่ที่ถูกจัดให้อยู่ในลำดับที่ 5 ของ OWASP TOP 10 2013 ช่องโหว่ประเภทนี้เป็นช่องโหว่ที่เกิดจากการตั้งค่าที่ผิดพลาดของระบบ เนื่องจากเว็บแอปพลิเคชันประกอบไปด้วยหลายส่วนประกอบ ทุกส่วนต้องได้รับการดูและและตั้งค่าอย่างถูกต้องมิฉะนั้นก็จะกลายเป็นช่องโหว่ที่นำความเสียหายมาสู่ระบบทั้งระบบ ในบทความนี้จะอธิบายตัวอย่างช่องโหว่ประเภทนี้และผลกระทบที่อาจจะเกิดขึ้นต่อระบบ
HTTP over SSL หรือ HTTPS นั้นเป็นเทคโนโลยีที่ถูกคิดค้นขึ้นมาเพื่อทำให้เว็บแอปพลิเคชันมีความปลอดภัยจากการดักจับข้อมูล โดย HTTPS ได้นำ Secure Socket Layer (SSL) มาใช้ในการเข้ารหัสข้อมูลที่ต้องการส่ง บทความนี้จะอธิบายถึงหลักการทำงานของ SSL/TLS และการทำงานของ HTTPS เพื่อเป็นพื้นฐานความรู้ในการทำเว็บแอปพลิเคชันให้มีความปลอดภัย
Insecure Direct Object Reference (IDOR) เป็นหนึ่งในช่องโหว่ที่พบได้บ่อยในเว็บแอปพลิเคชันที่มีการรับข้อมูลจากผู้ใช้งานผ่าน URL ทำให้ถูกจัดเป็นช่องโหว่ที่อยู่ในลำดับที่ 4 ของ OWASP TOP 10 2013 ช่องโหว่ประเภทนี้อาจจะมีชื่อที่ไม่คุ้นเคยเหมือน SQL Injection หรือ Cross-Site Scripting แต่ความร้ายแรงของช่องโหว่นั้นไม่ได้ยิ่งหย่อนไปกว่ากันสักเท่าไร บทความนี้จะอธิบายหลักการและสาเหตุของช่องโหว่ประเภทนี้
