Publicación:

Evaluación de seguridad de la aplicación web del portal de servicios académicos en línea.

Resumen

El trabajo descrito en este documento detalla el proceso de la evaluación de seguridad de la aplicación web del Portal de Servicios Académicos en Línea. Una evaluación de seguridad de una aplicación web se refiere a realizar un conjunto de pruebas sobre la aplicación web para identificar la mayor cantidad posible de debilidades o brechas de seguridad en la aplicación. Posteriormente se analizaron los resultados de cada prueba para así proponer soluciones a las vulnerabilidades y mejorar la seguridad de la aplicación. Aunque se examine minuciosamente la aplicación siempre cabe la posibilidad que existan vulnerabilidades muy particulares o sutiles que se puedan pasar por alto. Para llevar a cabo tal evaluación se utilizó como referencia principal la Guía de Pruebas de OWASP desarrollada por el Proyecto Abierto de Seguridad en Aplicaciones Web (OWASP). Esta metodología define diez grupos de actividades en los cuales se enmarcan las 66 actividades que comprenden la evaluación completa. El primer grupo de actividades, “Recopilación de Información” es el único en el que no se realizan pruebas, ya que el objetivo de este grupo de actividades es recopilar toda la información necesaria para las actividades posteriores. Las demás actividades se dedican por completo a realizar pruebas para descubrir vulnerabilidades específicas de autenticación, autorización, manejo de sesiones, lógica del negocio, gestión de configuración, validación de datos, denegación de servicio, servicios web y AJAX. La evaluación se desarrolló físicamente dentro del campus de la Universidad del Valle de Guatemala. Todas las pruebas se realizaron sobre una copia del portal de servicios académicos en línea en un servidor de aseguramiento de calidad (QA) para evitar que al hacer la evaluación se descubrieran y accidentalmente activara una vulnerabilidad que pudiera dañar, eliminar o corromper el sistema o los datos de producción del mismo. Al concluir las pruebas se analizaron los resultados, se catalogaron las vulnerabilidades y se propusieron medidas para mitigarlas. Se discute brevemente el impacto de cada vulnerabilidad y se propone una estrategia para mitigarla. RR