我們都記得雅虎臭名昭著的安全漏洞公告，當時它說 3 年有 2013 億用戶的帳戶在網絡攻擊中受到影響。該報告將該公司置於大規模安全漏洞列表的首位。 2017 年以更廣泛的方式印有此類新聞。 XNUMX 月，信用評級機構 Equifax 披露了一起影響 143萬人. 據安全公司金雅拓稱，2 年上半年全球約有 2017 億條記錄被盜。
此類安全漏洞將繼續發生，因為最近政府使用的黑客工具在網上洩露，使黑客更容易引入惡意軟件並竊取公司數據。 根據網絡安全風險投資報告，世界將不得不遭受損失 每年 6 萬億美元 到 2021 年，網絡犯罪造成的損失甚至超過全球非法毒品貿易造成的損失。
這些令人生畏的數字說明了為什麼在發布之前保護任何類型的軟件都是必不可少的。 以下是構建具有安全性的解決方案的五個技巧：
1.防止SQL注入
SQL 注入是 OWASP 十大 Web 應用程序漏洞列表中的首要漏洞之一。 OWASP 移動安全項目的啟動旨在為開發人員提供一些威脅 Web 應用程序安全的常見因素。 SQL 注入非常普遍，當不受信任的來源在應用程序中輸入數據時就會發生。 常見的入口點包括購物車、註冊表格和登錄表格。
SQL 注入很常見，因為 SQL 是所有數據庫都使用的通用語言，並且不需要太多專業知識。 SQL 注入允許黑客更改現有數據。 黑客還可以洩露和破壞所有數據，甚至更糟的是可以成為服務器的管理員。 開發人員可以通過查詢參數化來防止 SQL 注入，其中服務器在執行請求之前處理請求，以便它知道它是什麼類型的查詢。
2. 加密一切
加密是保護應用程序的最關鍵步驟。 2014 年， 黑客攻擊了 eBay 並竊取了 100 名 eBay 員工的信息。 通過這種方式，黑客可以訪問公司的內部網絡，從那裡他們獲取了大約 145 億客戶的數據。 有趣的是，黑客在 eBay 沒有註意到的情況下篡改了 229 天的系統。
這種情況發生在低質量加密的情況下。 攻擊者可以安裝被盜的證書，讓他們隱藏起來。 當 HTTPS 解決方案無法訪問所有密鑰和證書時，這些流氓證書就不會被檢測到。
LinkedIn 也對其移動應用程序感到自滿。 當公司推出新的日曆集成功能時，它在互聯網上公開地將本地日曆數據傳輸到 LinkedIn 服務器，任何人都可以隨時找到它
確保您的應用程序已加密，確保軟件和服務器之間的所有通信都是通過 HTTPS 連接完成的。
3. 確保密碼安全
密碼安全在任何應用程序開發中都至關重要。 Adobe 2013 年的數據安全漏洞是眾所周知的，因為該公司沒有安全地存儲密碼。 通常，應用程序會錯誤地存儲未加密的密碼，這使它們更容易受到攻擊。
因此，您應該以無法從數據庫中恢復的方式保護密碼。 為了真正保護密碼，您可以使用加密哈希，它旨在通過混合和粉碎輸入來抵抗任何嘗試。 此外，您可以使用一種稱為“散列和鹽”的策略，其中每個密碼的散列與一些稱為鹽的隨機添加混合。
4. 實現多因素認證
隨著世界正朝著多因素身份驗證的方向發展，僅使用密碼進行身份驗證已變得過時。 許多網站和應用程序（例如 Google 和 Apple 的一些應用程序）都提供多因素身份驗證。 支付應用程序 Venmo 及其安全漏洞事件清楚地表明了多因素身份驗證的重要性。 Venmo 的客戶 Griswold 的賬戶被盜，他知道裡面只剩下 3000 美元。 儘管尚不清楚攻擊者如何獲得其帳戶的訪問權限，但 Venmo 因不支持雙因素身份驗證而受到批評。
最常見的兩因素身份驗證形式是通過應用程序。 但是，它不太安全。 最近，Twitter 通過允許用戶實施第三方身份驗證來更新其平台安全性。 Twitter 用戶現在可以使用第三方應用程序（例如 Google Authenticator）進行驗證。
5. 進行安全審計
所以，你認為你已經做了一切 保護您的應用程序，並且它對任何攻擊免疫？ 再想想。 您可能還測試並重新測試了您的軟件，但這並不能保證您的安全是萬無一失的。 這是因為開發人員自己編寫代碼，這使他們更容易忽略或忽略特定因素。 這就是為什麼有必要從不同的角度看待您的解決方案。
要進行成功的審核，您首先需要確定您的要求是什麼。 此外，您需要確定您的應用程序可能容易受到的風險類型，以便可以設計適當的測試。 您還可以使用自動化工具來完成這項工作。 這些工具大大降低了成本並增加了覆蓋範圍。
摘要
隨著世界的聯繫日益緊密，我們對軟件解決方案的依賴日益增加，安全的重要性再怎麼強調也不為過。 此外，隨著網絡犯罪的增加，任何 Web 應用程序都無法生存，尤其是那些涉及支付系統（如 PayPal、AliPay 或 Venmo）的應用程序。 資安防護 隨著黑客變得越來越聰明，越來越老練，它變得越來越具有挑戰性。 黑帽黑客通常領先於安全白帽黑客。
一個有經驗的黑客只需要 10 分鐘就能破解一個 XNUMX 個字符的密碼，這取決於它的複雜程度。 令人震驚，不是嗎？ 這些網絡盜竊通過他們所做的事情賺了很多錢，而且不會很快停止。
由於市場上有大量可用的選項，而且轉換相關的成本很低，因此客戶在選擇另一種解決方案而不是您的解決方案之前會毫不猶豫。 一旦名譽受損，就很難恢復。
這篇客座文章由 阿什莉·羅莎. 她是一名自由作家和博主。 由於寫作是她的激情所在，因此她喜歡撰寫與最新技術趨勢相關的文章，有時也撰寫與健康技術相關的文章。 她為之瘋狂 巧克力.
圖片來源： 馬克霍金斯 / 發展種子
資料來源：Seena Gressin (美國聯邦貿易委員會), 網絡安全風險投資, 戈登·凱利 (福布斯)
