ASP Security by Soroush Dalili - Intelligent Exploit

.8.3.2 آسيب پذيري :Insecure Cryptographic Storageامروزه حفاظت از اطلاعات حساس يك بخش مهم در بسياري از برنامه هاي كاربردي تحت وب شدهاست.‏ با اين حال اشتباهات نيز در رمز نگاري اطلاعات حساس بسيار گسترده شده است.‏اين اشتباهات عبارتند از:‏عدم رمز نگاري اطلاعات حساس.‏استفاده از الگوريتم هاي دست ساز.‏استفاده غير امن از الگوريتم هاي قدرتمند.‏ادامه استفاده از الگوريتم هاي ضعيف نظير RC4 ،RC3 ،SHA-1 ،MD5 و مانند آن.‏1استفاده از كليدهاي نوشته شده دائمي در كد برنامهو ذخيره اين كليدها در محلي بدون-----حفاظت.‏JSPASPيك مثال معمول اين آسيب پذيري ميتواند يك برنامهياباشد كه اطلاعات محرمانهXMLكاربران را در يك فايل MDBيامعلوم كه از طريق وب قابل دسترسي است ذخيره كند ورمزنگاري به كار رفته در قسمت رمزهاي عبور برگشت پذير باشد.‏مثال عملي تر براي اين آسيب پذيري زمانيست كه برنامه كاربردي تحت وب در هنگام تغيير پسورد درفيلدهاي صفحه رمز عبور فعلي را بدون رمز نگاري جا سازي مي كند.‏اين نشان مي دهد كه رمز هايعبور در پايگاه داده سايت نيز بدون رمز نگاري هستند و علت خطرناك بودن اين عمل آن است كه درصورت وجود آسيب پذيري هايي نظيرياSQL Injection مي توان رمز عبور سايرCSRF،XSSكاربران را به دست آورد يا به راحتي تغيير داد.‏1 Hard coding54