Ameaças ao Lync Web App
Tópico modificado em: 2011-09-13
Este tópico descreve possíveis ameaças ao Lync Web App.
Fixação de Sessão
Em um ataque de fixação de sessão, o invasor configura o token de sessão do usuário antes que a sessão seja estabelecida entre o usuário o servidor web. Fazendo isso, o invasor terá o ID de sessão e não precisará determiná-lo depois que a sessão for estabelecida. O Lync Web App foi desenvolvido para minimizar esta ameaça.
Sequestro de sessão
No sequestro de sessão, o invasor acessa a sessão de um usuário detectando o tráfego não criptografado na rede. O Lync Web App minimiza esta ameaça usando SSL como protocolo de comunicação padrão entre o cliente e o Lync Web App.
Riding/Double Riding de Sessão
Riding de sessão é quando um invasor tenta usar uma sessão estabelecida entre um usuário e um aplicativo baseado na web para executar comandos enquanto se faz passar pelo usuário. O invasor o faz enviando ao usuário uma mensagem de e-mail ou similar atraindo o usuário para que visite um site da web especificamente desenvolvido para executar softwares maliciosos. Os comandos que podem ser executados pelo invasor incluem abrir firewalls, excluir dados e executar outros comandos dentro da rede interna.
O Lync Web App foi desenvolvido para evitar que um invasor use este método para controlar a sessão do Lync Web App de um usuário através de um site da web malicioso.
Ataques de script em diferentes locais (CSS, XSS, Inserção de Código)
Um ataque de script em diferentes locais (às vezes referenciado como CSS, XSS, ou ataque de inserção de código) ocorre quando um invasor usa um aplicativo web para enviar softwares maliciosos, geralmente na forma de um script, a um usuário alvo. O navegador do usuário alvo não tem como detectar que o script não deve ser confiável e o executa. Quando o script malicioso é executado, acessa cookies, tokens de sessão ou outras informações confidenciais que estiverem armazenadas pelo navegador do usuário. Esses scripts também podem regravar o conteúdo da página HTML.
Os ataques de script em diferentes locais podem ser armazenados ou refletidos. Ataques armazenados são aqueles em que o script malicioso é armazenado de forma permanente no servidor web comprometido, por exemplo, em bancos de dados, fóruns de mensagens, logs de visitantes e campos de comentário. Quando o usuário acessa o servidor web, o navegador executa o script. Em ataques de script refletidos, um usuário é atraído para clicar em um link ou enviar um formulário especialmente trabalhado que contém um software malicioso. Quando o usuário clica no link para enviar os dados do formulário, a URL, que contém o software malicioso, é enviada para o servidor web juntamente com os dados do usuário. Quando o site exibe as informações do usuário de volta para ele, aparecem como originadas de uma fonte confiável. No entanto, as informações contêm o software malicioso, que é então executado no computador do usuário.
Este problema de segurança existe somente em sites web que não validam adequadamente a entrada do usuário. O Lync Web App usa uma validação de entrada de usuário extensiva para evitar esta ameaça.
Ameaças de Token
HTTP é um protocolo sem conexão e cada página web exige várias solicitações e respostas de servidor para completar a página. Diversos métodos são usados para manter a persistência da sessão entre as solicitações de página durante uma sessão. Um método usado pelo servidor web é endereçar um token ao navegador cliente fazendo a solicitação. Este é o método usado pelo Lync Web App.
Depois que o Lync Web App autentica um usuário interno ou externo com sucesso, endereça um token para um cookie de sessão, que é retornado para o cliente. Esse cookie é usado para acessar o servidor em uma única sessão. Portanto, clientes devem aceitar cookies do Lync Web App para funcionar corretamente. Um invasor poderia roubar e reutilizar esse token. O Lync Web App atenua a ameaça de token endereçando somente um cookie de sessão, usando SSL (quando estiver habilitado) para transportá-lo, limpando o token quando a sessão termina e provocando a expiração do token depois de um período de inatividade do cliente.
Ping de Token
Em um ping de token, também conhecido como um token keep-alive, um usuário autenticado envia repetidamente uma solicitação ao servidor web para impedir a sessão e, portanto, o token de sessão, de expirar. Um ataque de ping de token pode ser considerado uma ameaça porque ignora a lógica de tempo limite incorporada no servidor. No entanto, o nível de ameaça é baixo, pois o usuário deve ser autenticado primeiro.
Phishing (Password Harvesting Fishing)
O phishing usa a falsificação e é um tipo de ataque no meio do processo. O invasor não autorizado tenta obter informações com os usuários se passando por uma entidade autorizada para ter as informações. O invasor normalmente o faz levando o usuário a inserir uma senha ou número de conta em um site, formulário ou mensagem de e-mail falsa. Você deve instruir os usuários finais sobre os métodos utilizados pelos invasores para obter informações pessoais.