Abstract:
El trabajo descrito en este documento detalla el proceso de la evaluación de
seguridad de la aplicación web del Portal de Servicios Académicos en Línea. Una
evaluación de seguridad de una aplicación web se refiere a realizar un conjunto de
pruebas sobre la aplicación web para identificar la mayor cantidad posible de
debilidades o brechas de seguridad en la aplicación. Posteriormente se analizaron los
resultados de cada prueba para así proponer soluciones a las vulnerabilidades y
mejorar la seguridad de la aplicación. Aunque se examine minuciosamente la
aplicación siempre cabe la posibilidad que existan vulnerabilidades muy particulares
o sutiles que se puedan pasar por alto.
Para llevar a cabo tal evaluación se utilizó como referencia principal la Guía de
Pruebas de OWASP desarrollada por el Proyecto Abierto de Seguridad en
Aplicaciones Web (OWASP). Esta metodología define diez grupos de actividades en
los cuales se enmarcan las 66 actividades que comprenden la evaluación completa. El
primer grupo de actividades, “Recopilación de Información” es el único en el que no
se realizan pruebas, ya que el objetivo de este grupo de actividades es recopilar toda
la información necesaria para las actividades posteriores. Las demás actividades se
dedican por completo a realizar pruebas para descubrir vulnerabilidades específicas
de autenticación, autorización, manejo de sesiones, lógica del negocio, gestión de
configuración, validación de datos, denegación de servicio, servicios web y AJAX.
La evaluación se desarrolló físicamente dentro del campus de la Universidad del
Valle de Guatemala. Todas las pruebas se realizaron sobre una copia del portal de
servicios académicos en línea en un servidor de aseguramiento de calidad (QA) para
evitar que al hacer la evaluación se descubrieran y accidentalmente activara una
vulnerabilidad que pudiera dañar, eliminar o corromper el sistema o los datos de
producción del mismo.
Al concluir las pruebas se analizaron los resultados, se catalogaron las
vulnerabilidades y se propusieron medidas para mitigarlas. Se discute brevemente el
impacto de cada vulnerabilidad y se propone una estrategia para mitigarla. RR
