Desktop application security in C#

Dag 1

Basisprincipes van beveiliging

Wat is beveiliging?

Bedreiging en risico

Soorten bedreigingen voor computersystemen

Gevolgen van onveilige software

Beperkingen en de markt

Bugs, kwetsbaarheden en exploits

Categorisering van bugs

• Zeven verderfelijke koninkrijken
• Common Weakness Enumeration (CWE)
• CWE/SANS-top 25 van gevaarlijkste softwarefouten
• Kwetsbaarheden in de omgeving en de afhankelijkheden

Inputvalidatie

Principes voor inputvalidatie

• Zwarte lijsten en witte lijsten
• Validatie met regex
• Wat valideren - het aanvalsoppervlak
• Wanneer valideren - validatie vs transformaties
• Waar valideren - verdediging in de diepte

Injectie

• Injectieprincipes
• Injectieaanvallen
• CRLF-injectie
• Vervalsen van logs
• Lab - logvervalsing
• Logvervalsing - best practices
• Code-injectie
• Commando-injectie
• Lab - Commando-injectie
• Best practices voor commando-injectie
• Lab - Best practices voor commando-injectie
• Casestudy - Commando-injectie
• Scriptinjectie
• Best practices voor injectie
• Inputvalidatie
• Outputopschoning
• De output coderen en escapen
• Uitdagingen bij het coderen

Behandeling van integers

• Signed getallen weergeven
• Integervisualisatie
• Problemen met integers
• Integeroverflow
• Lab - Integeroverflow
• Signed/unsigned-verwarring
• Lab - Signed/unsigned-verwarring
• Integertruncatie
• Best practices
• Upcasting
• Testen van precondities
• Testen van postcondities
• Grote integerbibliotheken gebruiken
• Integerverwerking in C#
• Lab - Checked arithmetics
• Andere numerieke problemen
• Delen door nul

Datastructuren

• Datastructuur-sentinels
• Containers
• Containerfouten
• Associatieve containers
• Iteratoren

Bestanden en streams

• Path traversal
• Path traversal-gerelateerde voorbeelden
• Extra uitdagingen in Windows
• Best practices voor path traversal
• Lab - path traversal
• Virtuele bronnen

Onveilige reflectie

• Reflectie zonder validatie
• Lab - onveilige reflectie

Onveilige native code

• Native code-afhankelijkheid
• Lab - onveilige native code

Enkele andere problemen met inputvalidatie

Kwetsbare componenten gebruiken

De omgeving beoordelen

Hardening

Functionaliteit importeren uit niet-vertrouwde bronnen

Beheer van kwetsbaarheden

• Patchbeheer
• Databases en scantools voor kwetsbaarheden
• Kwetsbaarheidsbeoordeling - CVSS
• Lab - kwetsbaarheden vinden van gebruikte componenten
• Het buildproces en CI/CD
• Afhankelijkheden controleren in Cake

Dag 2

Beveiligingsfuncties

Authenticatie

• Basisprincipes van authenticatie
• Zwakke punten in authenticatie
• Casestudy - PayPal-tweefactorauthenticatie omzeilen
• Best practices voor gebruikersinterfaces
• Wachtwoordbeheer
• Inkomend wachtwoordbeheer
• Accountwachtwoorden opslaan
• Plaintext-wachtwoorden bij Facebook
• Lab - waarom is het hashen van wachtwoorden alleen niet genoeg?
• Woordenboekaanvallen en brute forcing
• Salting
• Adaptieve hashfuncties voor wachtwoordopslag
• Wachtwoord onderweg
• Wachtwoordbeleid
• Zwakke en sterke wachtwoorden
• Wachtzinnen gebruiken
• Lab - een wachtwoordbeleid toepassen
• Het datalek bij Ashley Madison
• De woordenboekaanval
• De ultieme aanval
• Gebruik van de resultaten en de geleerde lessen
• Beheer van uitgaande wachtwoorden
• Hardgecodeerde wachtwoorden
• Lab - Hardgecodeerd wachtwoord
• Wachtwoord in configuratiebestand
• Gevoelige informatie in het geheugen beschermen
• Uitdagingen bij geheugenbescherming
• Gevoelige data opslaan in het geheugen
• Lab - Gevoelige data opslaan in het geheugen met SecureString

Autorisatie

• Basisprincipes van toegangscontrole
• Ontbrekende of onjuiste autorisatie
• Toegangscontrole in databases
• Lab - Databasetoegangsbeheer
• Privileges en rechten
• Manipulatie van rechten
• Onjuist gebruik van geprivilegieerde API's
• Best practices voor rechten
• Principe van de minste privileges
• Principe van scheiding van privileges
• Toestemming verlenen
• Privileges laten vallen
• Afhandeling van onvoldoende privileges

.NET-platformbeveiliging

• Beveiliging van de codetoegang
• Bewijzen
• Rechten
• The Stack Walk
• Lab - Beveiliging van de codetoegang
• Het transparantiemodel
• Best practices
• Lab - experimenteren met het transparantiemodel
• Rolgebaseerde beveiliging
• Principal en identiteit
• Rolgebaseerde rechten
• Imitatie
• Lab - rolgebaseerde beveiliging
• .NET-code en -toepassingen beschermen
• Code signing

Blootstelling van informatie

• Blootstelling door geëxtraheerde data en aggregatie
• Gelekte systeeminformatie
• Lekken van systeeminformatie
• Vertrouwen op toegankelijkheidsmodificatoren
• Lab - ongepaste bescherming door toegankelijkheidsmodificator
• Best practices bij blootstelling aan informatie

UI-beveiliging

• UI-beveiligingsprincipes
• Gevoelige informatie in de gebruikersinterface
• Lab - wachtwoord uit de UI halen
• Verkeerde interpretatie van UI-functies of acties
• Onvoldoende UI-feedback
• Vertrouwen op verborgen of uitgeschakeld UI-element
• Lab - verborgen of uitgeschakeld UI-element
• Onvoldoende anti-automatisering

Dag 3

Veelvoorkomende zwakke plekken in de beveiliging van software

Tijd en toestand

• Best practices voor threadbeheer
• Best practices voor threadbeheer in C#
• Racecondities
• Raceconditie in objectdataleden
• Lab - singleton lidvelden
• Bestandsraceconditie
• Tijd van controle tot tijd van gebruik (TOCTTOU)
• Lab - TOCTTOU
• Onveilig tijdelijk bestand
• Racecondities bij databases
• Het vermijden van racecondities in C#
• Wederzijdse uitsluiting en locking
• Deadlocks
• Laboratorium - Locking
• Synchronisatie en threadveiligheid
• Synchronisatie en threadveiligheid in C#

Fouten

• Principes voor afhandeling van fouten en excepties
• Foutafhandeling
• Een misleidende statuscode teruggeven
• Blootstelling aan informatie door foutrapportage
• Afhandeling van excepties
• In het catch-blok. En wat nu?
• Leeg catch-blok
• Best practices voor catch-blokken
• Te brede throws
• Null-pointerexcepties afvangen
• Afhandeling van excepties in C#
• Lab - Gedoe bij de afhandeling van excepties

Codekwaliteit

• Data
• Arrays en ToString()
• Initialisatie en opschoning
• Niet-geïnitialiseerde variabele
• Cycli voor klasseninitialisatie
• Lab - Initialisatiecycli
• Niet-vrijgegeven resource
• Valkuilen van objectgeoriënteerd programmeren
• Toegankelijkheidsmodificatoren
• Overerven en overschrijven
• Equals() implementeren
• Mutabiliteit
• Alleen-lezen-collecties
• Lab - muteerbaar object
• Klonen
• Gevoelige klassen klonen - object hijacking
• Object hijacking - best practices
• Serialisatie

Denial of service

• Denial of service
• Uitputting van bronnen
• Cache-overflow
• Flooding
• Duurzame betrokkenheid van klanten
• Denial of service-problemen in C#
• Oneindige lus
• Lab - uitputten van bronnen
• Amplificatie
• Netwerkamplificatie
• Amplificatie in databases
• Andere voorbeelden van amplificatie
• Problemen met de complexiteit van algoritmes
• Denial of service door reguliere expressies (ReDoS)
• Lab - ReDos
• Hashtable collision
• Hoe werken hashtabellen?
• Hash collision bij hashtables
• Hashtable collision in C#

Samenvatting

Principes voor veilig programmeren

• Grondbeginselen van robuust programmeren door Matt Bishop
• Veilige ontwerpprincipes van Saltzer en Schröder
• Nog enkele principes

En wat nu?

• Verdere bronnen en naslagwerken
• Bronnen voor .NET en C#
• Verdere labs en uitdagingen