Minacce per Lync Web App
Ultima modifica dell'argomento: 2011-09-13
In questo argomento vengono descritte le potenziali minacce per Lync Web App.
Impostazione sessione
In un attacco di tipo impostazione sessione, l'autore dell'attacco imposta il token di sessione dell'utente prima che venga stabilita la sessione tra l'utente e il server Web. In tal modo, dispone già dell'ID di sessione e non deve determinarlo dopo che la sessione è stata stabilita. Lync Web App è progettato per ridurre al minimo questa minaccia.
Hijack di sessione
Nell'hijack di sessione, l'autore di un attacco accede alla sessione di un utente analizzando il traffico non crittografato in rete. Lync Web App riduce al minimo questa minaccia utilizzando SSL come protocollo di comunicazione predefinito tra il client e Lync Web App.
Furto di sessione/Doppio furto
Il furto di sessione è il tentativo da parte dell'autore di un attacco di utilizzare una sessione stabilita tra un utente e un'applicazione basata sul Web per eseguire comandi fingendosi l'utente. A questo scopo, l'autore dell'attacco invia all'utente un messaggio di posta elettronica o lo induce in altro modo a visitare un sito Web sviluppato appositamente per eseguire malware. I comandi che possono essere eseguiti dall'autore dell'attacco includono l'apertura di firewall, l'eliminazione di dati e l'esecuzione di altri comandi nella rete interna.
Lync Web App è progettato per impedire all'autore di un attacco di utilizzare questo metodo per controllare la sessione di Lync Web App di un utente tramite un sito Web dannoso.
Cross-site scripting (CSS, XSS, inserimento di codice)
Un attacco di tipo cross-site scripting (detto talvolta CSS, XSS o attacco di tipo inserimento di codice) si verifica quando l'autore di un attacco utilizza un'applicazione Web per inviare malware, in genere sotto forma di script, a un utente di destinazione il cui browser, non avendo la possibilità di determinare che lo script non è attendibile, lo eseguirà. Quando lo script dannoso viene eseguito, può accedere a cookie, token di sessione o altre informazioni riservate conservate dal browser dell'utente finale. Tali script sono anche in grado di riscrivere il contenuto della pagina HTML.
Gli attacchi di tipo cross-site scripting possono essere archiviati o riflessi. Negli attacchi archiviati lo script dannoso viene definitivamente archiviato nel server Web compromesso, ad esempio in database, forum di messaggi, registri dei visitatori e campi di commento. Quando l'utente accede al server Web, il browser dell'utente esegue lo script. Negli attacchi di tipo cross-site scripting riflessi, un utente viene indotto con l'inganno a fare click su un collegamento o a inviare un modulo appositamente creato e contenente malware. Quando l'utente fa clic sul collegamento per inviare i dati del modulo, l'URL contenente il malware viene inviato al server Web insieme ai dati dell'utente. Quando nel sito Web le informazioni dell'utente vengono nuovamente visualizzate all'utente, sembrano provenire da un'origine attendibile. Le informazioni, tuttavia, contengono il malware che viene quindi eseguito nel computer dell'utente.
Questa vulnerabilità esiste solo nei siti Web che non convalidano correttamente l'input utente. Lync Web App utilizza la convalida completa dell'input utente per evitare questo rischio.
Minacce token
HTTP è un protocollo senza connessione e ogni pagina Web richiede più richieste e risposte del server per essere completata. Per garantire la permanenza della sessione tra una richiesta della pagina e l'altra durante una sessione, esistono diversi metodi. Uno dei metodi utilizzati dal server Web è l'emissione di un token al browser client per effettuare la richiesta. Si tratta del metodo utilizzato da Lync Web App.
Dopo che Lync Web App ha autenticato un utente interno o esterno, emette un token in un cookie di sessione, che viene restituito al client. Questo cookie viene utilizzato per accedere al server per una sola sessione. Pertanto, per il corretto funzionamento dei client è necessario che questi accettino i cookie rilasciati da Lync Web App. L'autore di un attacco potrebbe sottrarre e riutilizzare questo token. Lync Web App riduce la minaccia token emettendo un solo cookie di sessione, utilizzando SSL, se abilitato, per trasportare il token, cancellando il token al termine della sessione e facendo scadere il token dopo un determinato periodo di inattività del client.
Ping di token
In un ping di token, noto anche come keep-alive di token, un utente autenticato invia ripetutamente una richiesta al server Web per impedire alla sessione, e pertanto al token di sessione, di scadere. Un attacco di tipo ping di token viene considerato una minaccia perché ignora la logica di timeout predefinita del server. Il livello di rischio è tuttavia basso, perché l'utente deve prima essere autenticato.
Phishing (Password Harvesting Fishing)
Il phishing utilizza lo spoofing ed è un attacco di tipo man-in-the-middle. L'autore non autorizzato di un attacco cerca di ottenere informazioni dagli utenti fingendosi un'entità autorizzata a riceverle. A questo scopo, in genere induce l'utente con l'inganno a immettere una password o un numero di conto in un falso sito Web, modulo Web o messaggio di posta elettronica. È consigliabile istruire gli utenti finali sui metodi utilizzati dagli autori di attacchi per ottenere informazioni riservate.