O conceito de segurança é muito amplo, gosto de definir segurança como um “conjunto racional de salvaguardas”. A ideia é que sejam tomadas medidas para evitar que determinados eventos indesejados não aconteçam.
Estou criando esse tópico para guardar algumas sugestões baseadas na minha percepção após utilizar o OpenRedu, sob a ótica de um profissional da área de segurança da informação.
1. Nginx desatualizado - muitas vulnerabilidades encontradas entre a versão 1.15.5 e a atual
Após verificar a versão do Nginx fiquei surpreso com o fato de ser uma versão antiga, ainda de 2018. Aqui você pode ver a lista de vulnerabilidades associadas à versão do Nginx utilizada na instância openredu[.]com:
2. Não utilização de HTTPS/SSL
A falta do uso da criptografia na comunicação do OpenRedu representa um risco aos usuários e aos responsáveis pelo serviço. A implementação desta feature representa garantias importantes aos envolvidos no uso da ferramenta (Integridade, Confidencialidade e Autenticidade).
O problema é antigo e já foi citado em alguns tópicos na comunidade. Exemplo: Configuração de SSL/TLS no Openredu
Achei alguns artigos que podem ajudar na solução do problema com o SSL (trocando o “xx” por “tt” e removendo as chaves - link diluído por limitação de 2 links por post):
hxxps://kwa29[.]medium[.]com/how-to-secure-nginx-with-lets-encrypt-on-debian-strech-6ff2e1008c55
hxxps://www[.]nginx[.]com/blog/using-free-ssltls-certificates-from-lets-encrypt-with-nginx/
3. Processo de cadastro permite alguns tipos de ataque
-
O processo de cadastro dá acesso à plataforma antes da confirmação por e-mail por parte do usuário.
- A ausência dessa verificação pode representar um grande risco, já que um atacante teria mais facilidade em cadastrar usuários para serem utilizados em um ataque envolvendo bots (negação de serviço ou até SPAM).
-
Analisando o processo de cadastro, notei que ao receber o link de confirmação de cadastro, ele funciona da mesma forma que um de recuperação de senha, permitindo ao usuário entrar na plataforma apenas clicando no link, sem necessidade de confirmar os dados de login (usuário e senha).
- Essa prática não é recomendável do ponto de vista de segurança, já que o sequestro do e-mail pode permitir à um atacante acesso direto à uma conta, que pode ter privilégios elevados (admin) além de outros tipos de ataque como:
- Ataques de DoS (com excesso de logins) e de SPAM são possíveis especialmente considerando a quantidade reduzida de informações necessárias para criar o usuário.
- Ausência de um sistema do tipo “Captcha” para proteger o sistema de requisições automatizadas em um possível ataque (brute-force, por exemplo).