Onderzoek naar beveiliging voor applicatie

[diBanani]

Hallo Mensen,

Ik doe een onderzoek naar de beveiligingsmogelijkheden voor een mobiele applicatie. De applicatie is momenteel in ontwikkeling en mij is gevraagd om naar de mogelijkheden te kijken op het gebied van beveiliging. Het gaat hier niet om de implementatie daar staat mijn onderzoek los van, mijn onderzoek is bedoeld om de ontwikkelaar een beeld te geven welke mogelijkheden hij heeft om de applicatie zo goed mogelijk te beveiligen.

De applicatie zal gebruikersgegevens bevatten en bestanden in pdf formaat die alleen gelezen kunnen worden. De gegevens en bestanden moeten beveiligd worden zodat deze niet op straat komen te liggen.

Nu heb ik mij al veel verdiept op de encryptie mogelijkheden van gegevens met betrekking tot het hashen en salting van wachtwoorden en het voorkomen van aanvallen door middel van bijvoorbeeld Rainbow Tables. Nu hoopte ik dat jullie mij wat meer informatie konden gegeven over andere beveiligingsmethodes die er om de hoek komen kijken als het gaat om de beveiliging van de applicatie.

Voor de applicatie heb je een server nodig die op zijn beurt ook weer beveiligd dient te worden, door middel van intrusion detection kan je de server bijvoorbeeld beveiliging op ongeautoriseerd gedrag. Databases kun je op hun beurt weer beveiligen door middel van encryptie.

Nu was mijn vraag, hoe kijken jullie tegen het beveiligen van een applicatie aan. Welke methodes zijn geschikt, welke zijn bijvoorbeeld zeer noodzakelijk?

[Beatboxx]

Wachtwoorden moet je hashen met bcrypt. Werkt erg simpel!

[F_J_K]

IMHO is de database encrypten veel minder belangrijk dan zorgen dat men niet bij de DB kan komen. Zodra je binnen bent kan je immers ook bij de key. Encryptie is dan hooguit een extra laagje (behalve als je bang bent voor fysieke diefstal maar dan heb je hele andere problemen )
Dat geldt ook voor IDS: handig, goed als extra laag, maar stap 1 is zorgen dat er alleen via de juiste paden door de juiste personen de juiste dingen kunnen worden gedaan.

Voor wat betreft database-encryptie kan je ook naar topics als Beveiliging van database en applicatie kijken.En aan de andere kant van je (N-tier? ) applicatie heb je dan nog details als Beste keuze voor veilig inlogsysteem website

Het is mij nog niet helder waar je nu naar op zoek bent (al heb ik al jaren zelf niets significants meer geprogrammeerd). Ben je op zoek naar zaken als http://www.cert.org/secure-coding of MSDN: Secure Coding Guidelines of iets anders?

[Nvidiot]

Wat ik in de startpost een beetje mis is je threat model. Waartegen wil je je beveiligen? Een gebruiker die een PDF'je doormailt vanaf z'n mobiel? Malware op de mobiel die dit doet? Een gebruiker die 't mobieltje verliest? Een gebruiker die z'n login gegevens op een post-it achterlaat? Een hacker die de back-end server hackt?

Maak eerst een duidelijke, concrete lijst met bedreigingen zoals hierboven en ga dan stuk voor stuk kijken hoe je die bedreigingen kunt wegnemen (technisch, procedures, ...) of misschien accepteer je een bepaalde bedreiging gewoon omdat je de kans daarop erg klein acht.

[diBanani]

F_J_K Als eerste bedankt voor de informatie, zeer nuttige informatie over database beveiliging gevonden die ik kan gebruiken.

[ Voor 68% gewijzigd door diBanani op 20-10-2012 23:29 ]