StM schreef op dinsdag 05 augustus 2014 @ 23:25:
Zeker en het zou ook veel vaker moeten gebeuren. Maar dan aub wat grondiger dan een quickscan van een paar uur, zeker bij grote shops waar serieus geld doorheen gaat. Ik geloof niet dat dit Azerty probleem in 4 uur boven water was gekomen of het moet echt een toevalstreffer geweest zijn. En ik wil niet de vraag moeten beantwoorden waarom ik het niet had gevonden terwijl het zo logisch was, wetende dat ik in het tijdsbestek nooit zelfs maar oppervlakkig naar alle componenten kan kijken en dus vrijwel gegarandeerd dingen mis.
[...]
Een applicatie staat nooit los van zijn omgeving, al was het maar om bugs in de omgeving te gebruiken om logica flaws in de applicatie te misbruiken

Ik vind het bv leuk om cryptoimplementaties te testen (dus geen cryptosystemen zelf, laat dat maar aan de cryptologen over) waarbij ik recent bijvoorbeeld een probleem heb bloot gelegd waarbij door het verkeerd gebruik van een PRNG in een specifieke situatie alle wachtwoorden, tokens etc in max een halfuurtje zijn te brute forcen over het web. Inclusief het encryptiesleutelpaar dat bij de installatie wordt gegenereerd en waarmee nogal gevoelige informatie wordt geëncrypt en men nogal sterk op die encryptie vertrouwde

Afhankelijk van in welke omgeving de applicatie draaide was die er wel of niet vatbaar voor.
En ja, dat is allemaal netjes legaal en op de juiste manier gegaan en inmiddels ook gefixed

Ik snap je punt, zelf voel ik er ook niet veel bij, hence de "audit", al hoewel ik het ook weer geen scan vind, omdat ik weer veel meer doe dan dat.
Ik volg mijn eigen procedures, waarbij ik bijvoorbeeld bijna 2 uur alleen al bezig ben geweest met de winkelwagen van de webshop... Alles wat ik dan weer doe is vanuit mijn eigen ervaringen als programmeur en op de één of andere manier heb ik blijkbaar een soort gave om op een bepaalde manier te denken om shit te vinden.
Ik heb geen "zin" in peperdure contracten, en dat soort meuk. Ik wil deze 'kwaliteit' gebruiken op een manier dat ik het web veiliger maak. Ik ben al 2 jaar bezig met het 'penetreren' van systemen waarbij ik nooit toestemming voor had. Very bad ye, daarom wil ik het op deze manier doen, waarbij eigenlijk iemand toestemming geeft zonder 'maren'. Geen verantwoordelijkheid, wel een report. Goed, nu pak ik het nu op dit moment wel wat beter aan dan dat simpele zinnetje, en heb ik ook papieren laten opmaken en heb ik juridische ondersteuning..
Ik denk echter nog steeds dat ik bijvoorbeeld webshops veilig kan maken, als in de applicatie zelf middels "minimaal" werk (lees: nog steeds niet weinig werk..).. Jouw beschrijving is okay voor een echte audit waar dik betaald voor is voor een belangrijk systeem. Naar mijn mening hoef je niet zo diep te gaan voor een webshop, dan verlies je het punt waar het uiteindelijk om gaat. Middels jouw redenatie is letterlijk elke website onveilig. Grote kans namelijk, dat als ik ongeveer 1000 uur in Tweakers ga zitten, dat ik hoe dan ook op welke manier iets van een bug/exploit ga vinden. Echter is dat helemaal niet de essentie.
Verder het systeem. Ik check wat basic dingen maar ik ga niet uren spenderen aan de server zelf. Met een basic check heb je de grootste punten bekeken, maar mijn opdracht ligt bij de website zelf. In jouw geval zou je zelfs een audit moeten doen op het personeel. Dat is immers ook een schakel in het systeem. Blijkbaar valt voor jouw de applicatie en server er wel onder, maar het volgende niet. Dat is dus een keuze, net zoals ik alleen de applicatie aanpak. Geef maar een oude opdrachtgever van je, loop ik even zijn datacenter binnen en zet m'n usb sticky er in, of heb je dat ook al getest qua veiligheid? Social hacking is namelijk niet zo apart.

Echter dus nogmaals, je loopt dan weer je doel voorbij.
edit;
Audit bied geen zekerheden, maar een gedocumenteerde manier om duidelijkheid te scheppen. Juist de audit 'result', dus ook de documentatie over -wat- is gedaan, geeft jou dan pas een indicatie over de zekerheden. Zekerheid dat punt x is gechecked op manieren Y &/of Z en dat punt x dus een bepaalde status heeft. Het zegt niet: punt x is veilig of onveilig punt. Het zegt ook niet dat je applicatie veilig/onveilig is.
Dat iemand vervolgens maar een conclusie er aan wijdt van "yo, alles safe" is niet mijn probleem. Noch zal ik aangeven of iets goed/fout is. Hier is je audit, en klaar.
[
Voor 6% gewijzigd door
Douweegbertje op 06-08-2014 00:19
]