Ders 6.1: Koddaki kriptografik hatalar
Gerçek sistemlerdeki kriptografik hataların çoğu kırık algoritmalar değil, yanlış kullanımdır: kapatılmış sertifika kontrolleri, kaynak koduna yazılmış anahtarlar, ECB kipi, sabit süreli olmayan karşılaştırmalar, tahmin edilebilir rastgele sayılar, parolalar için hızlı özetler. OWASP buna A02, Kriptografik Hatalar der. Laboratuvarda küçük bir PHP kod tabanını bir denetçi gibi inceliyor, tek bir grep ile beş hata buluyor, tek satırlık değişiklik olan ikisini düzeltiyor, sözdizimini kontrol ediyor ve diğerlerinin ihtiyaç duyduğu düzeltmeleri yazıyorsun.
18 dk
Bu derste öğreneceklerin
- Koddaki yaygın kriptografik hataları tanımak
- Sertifika doğrulamanın neden asla kapatılmaması gerektiğini açıklamak
- Sırlar için sabit süreli karşılaştırma kullanmak
- Anahtarların neden kaynak koduna ait olmadığını açıklamak
- Düzeltme notları yazmak
Temel terimler
- Kriptografik hatalar
- OWASP A02: kriptografi eksik, zayıf ya da yanlış kullanıldığı için açığa çıkan veri.
- Sertifika doğrulama
- İstemcinin, sunucu sertifikasının o ad için geçerli ve güvenilen bir CA tarafından imzalanmış olduğunu kontrol etmesi.
- Koda gömülü sır
- Kaynak koduna ya da depodaki bir yapılandırma dosyasına yazılmış parola ya da anahtar.
- Zamanlama saldırısı
- İşlemlerin ne kadar sürdüğünü ölçerek bir sırrı öğrenmek; örneğin ilk yanlış karakterde duran bir karşılaştırma.
- Kripto çevikliği
- Sistemleri, algoritmalar ve anahtarlar her şeyi yeniden yazmadan değiştirilebilecek şekilde tasarlamak.
← Sunucu taraflı istek sahteciliği (SSRF) · Tüm dersler · Olay müdahalesi: hazırlık, tespit, sınırlama, temizleme, kurtarma, ders çıkarma →