11 Mẹo Bảo Mật Giúp Lập Trình Ứng Dụng Web An Toàn

Trong bài viết này, bạn sẽ tìm thấy những kiến thức và mẹo hữu ích giúp bảo mật ứng dụng web ngay từ giai đoạn phát triển.

Trước kia, khi nói về bảo mật thông tin, ta thường nghĩ tới an ninh cho mạng kết nối, phần mềm hoặc hệ điều hành. Tuy nhiên, với xu hướng sử dụng các ứng dụng Web (web application) đang gia tăng không ngừng, thì bảo mật là một vấn đề quan trọng khi phát triển ứng dụng web.

Tại sao cần bảo mật Web App?

Ngày nay, các ứng dụng web là một phần không thể thiếu của doanh nghiệp và nó gắn liền với cuộc sống hàng ngày của người tiêu dùng. Bằng việc sử dụng dụng các ứng dụng web, doanh nghiệp và cá nhân đều có thể hoàn thành nhiều công việc hơn mà lại tốn ít tài nguyên hơn, giúp họ đạt được mục tiêu nhanh hơn nhiều so với trước kia.

• Mọi người không còn cần một nhà kho chứa đầy các tài liệu chất đống, mà chỉ cần Google Drive là đủ;
• Việc liên lạc không còn phụ thuộc vào thư giấy, thay vào đó chúng ta dùng các web app để liên lạc như G-mail, Outlook;
• Các nỗ lực marketing ngày nay phần lớn đều tập trung vào web với các nền tảng như Google Analytics, Search Console, Saleforce/Hubspot CRM,…;
• Kể cả các dịch vụ khách hàng cũng hướng dẫn bạn đến một trang web thay vì đầu số điện thoại 1-800 như trước đây.

Các ứng dụng web có thể giúp doanh nghiệp nhắm tới một lượng lớn đối tác và khách hàng theo những cách trước đây chưa từng có. Web app có thể kết nối với khách hàng, giữ liên lạc, chăm sóc, giới thiệu sản phẩm, và giúp thúc đẩy công việc kinh doanh.

Bởi vì chúng ta sử dụng các web app cho nhiều nhu cầu khác nhau và truyền đi quá nhiều thông tin nhạy cảm trên các kênh trực tuyến, nên chúng ta buộc phải bảo vệ và bảo đảm các thông tin đó không rơi vào tay kẻ xấu.

Cho đến nay, không có công nghệ web nào là bất khả xâm phạm. Các rủi ro mới vẫn tiếp tục xuất hiện mỗi ngày. Doanh nghiệp cần hết sức chủ động trong việc cập nhật và phòng tránh nguy cơ ứng dụng web bị tấn công.

Dưới đây là các mẹo hữu ích giúp nâng cao bảo mật cho ứng dụng web.

11 mẹo bảo mật dành cho web app developer

1. Hãy luôn nghi ngờ

Quy tắc đầu tiên trong lập trình web app bảo mật: hãy coi tất cả các dữ liệu đầu vào (input) là độc hại cho đến khi chứng minh được điều ngược lại.

Cần thực hiện xác minh đầu vào để đảm bảo chỉ có các dữ liệu hợp lệ mới được tham gia vào luồng làm việc của ứng dụng web. Điều này sẽ ngăn chặn việc xử lý các dữ liệu xấu và có khả năng gây ra lỗi cho các thành phần của web app.

Một số biện pháp xác minh đầu vào:

• Xác minh kiểu dữ liệu (đảm bảo các tham số phải đúng kiểu: số, chữ, v.v.)
• Xác minh định dạng dữ liệu (đảm bảo dữ liệu phải đúng định dạng giản đồ như JSON hay XML)
• Xác minh giá trị dữ liệu (đảm bảo các tham số được đúng mong đợi, trong khoảng giá trị được chấp nhận)

Việc xác minh đầu vào và phòng chống tấn công injection trong thực tế có thể sẽ phức tạp hơn. Tuy nhiên, điều cơ bản nhất là bạn cần phải xác minh đầu vào theo cả cú pháp lẫn ngữ nghĩa. Việc xác minh cú pháp sẽ bảo đảm các cú pháp thông tin là đúng (vd: Chứng minh nhân dân, ngày sinh, giá trị tiền tệ hay các số liệu), còn xác minh về mặt ngữ nghĩa sẽ bảo đảm được sự chuẩn xác của các giá trị trong bối cảnh doanh nghiệp cụ thể (vd: Ngày kết thúc phải lớn hơn ngày bắt đầu, giá thấp phải nhỏ hơn giá cao).

2. Mã hóa dữ liệu

Mã hóa là quy trình cơ bản trong việc bảo mật thông tin khỏi bất kỳ người nào không có quyền truy cập. Tuy rằng bản thân việc mã hóa không ngăn chặn được tin tặc can thiệp vào quá trình dữ liệu truyền đi, nhưng nó có thể làm nội dung trở nên khó hiểu hơn đối với kẻ đánh cắp.

Khi sử dụng dịch vụ web và các API, không nên chỉ thực thi các kế hoạch cấp phép cho các phần tử truy cập vào chúng, mà còn cần phải mã hóa các dữ liệu trong các dịch vụ trên. Một dịch vụ web mở và không được mã hóa đúng cách sẽ là con mồi hấp dẫn của các hacker.

3. Quản lý ngoại lệ đúng cách

Một biện pháp nữa để nâng cao bảo mật cho web app là quản lý các ngoại lệ đúng cách. Trong các thông báo lỗi gửi tới người dùng, bạn sẽ không muốn hiển thị quá nhiều thông tin vì chúng có thể là vũ khí để kẻ xấu lợi dụng khai thác hệ thống. Việc hiển thị bản sao thông báo hệ thống sẽ không giúp ích gì cho người dùng. Thay vào đó, nó lại đóng vai trò là những manh mối có giá trị với những mối nguy hại tiềm tàng.

Khi đang phát triển ứng dụng, hãy luôn cân nhắc rằng ba kết quả khả thi sau sẽ thường xuất hiện dưới góc nhìn bảo mật:

• Cho phép hoạt động
• Từ chối hoạt động
• Xử lý ngoại lệ

Thông thường, trong trường hợp có ngoại lệ hoặc lỗi, bạn nên quy về từ chối hoạt động (access denied). Một ứng dụng bảo mật sẽ thông báo lỗi rất đơn giản, điều này giúp ngăn chặn khả năng tin tặc thu thập thông tin để khai thác hệ thống. Ví dụ, nếu một máy ATM có lỗi thì bạn sẽ muốn nó hiển thị một thông báo đơn giản, thân thiện với người dùng thay vì các thông báo lỗi chi tiết về mặt kỹ thuật.

4. Áp dụng Authentication, Role Management và Access Control

Thực thi các phương pháp quản lý tài khoản hiệu quả như bắt buộc mật khẩu mạnh, cơ chế khôi phục mật khẩu an toàn và cấp phép nhiều lớp là những biện pháp cần thực hiện khi xây dựng ứng dụng web. Bạn có thế yêu cầu người dùng phải nhập mật khẩu khi truy cập vào các tính năng nhạy cảm hơn.

Khi thiết kế ứng dụng web, việc cấp cho người dùng các quyền hạn thấp nhất có thể, đủ để lấy thứ họ cần từ hệ thống nên là mục tiêu cơ bản hất. Bằng nguyên tắc đó, bạn sẽ giảm thiếu phần lớn các rủi ro một kẻ xâm nhập có thể thực hiện các hoạt động làm hỏng nghiêm trọng ứng dụng, hoặc thậm chí là cả nền tảng trong một số trường hợp (từ đó dẫn đến việc ảnh hưởng các ứng dụng khác chạy trên cùng hệ thống hoặc nền tảng)

Những yếu tố khác cần xem xét cho việc cấp phép và kiểm soát truy cập là gia hạn mật khẩu, khóa tài khoản khi điều kiện thỏa mãn, và tất nhiên là cả SSL để ngăn mật khẩu và các thông tin liên quan tới tài khoản được gửi đi bị lộ ra ngoài.

5. Bảo mật máy chủ của Ứng Dụng Web

Quan trọng không kém các cơ chế bảo mật tập trung cho việc phát triển ứng dụng, việc quản lý cấu hình phù hợp ở mức độ bảo mật cũng là điều cần thiết để giữ an toàn cho ứng dụng web.

Một trong những phương pháp cơ bản để bảo mật máy chủ ứng dụng web là Security Monitoring: Giám sát bảo mật máy chủ.

Nhà cung cấp dịch vụ giám sát bảo mật máy chủ sẽ tiến hành theo dõi máy chủ 24/7 để phát hiện các lỗ hổng bảo mật mới nhất có thể xuất hiện trên máy chủ – điều mà rất khó có thể theo dõi nếu không có công cụ chuyên dụng.

7. Tránh việc cấu hình bảo mật sai lệch

Các phần mềm quản lý máy chủ web hiện thời cung cấp vô vàn các lựa chọn, điều này cũng có nghĩa là sẽ có vô vàn cách để mắc phải lỗi cấu hình:

• Không bảo vệ, ngăn không cho các đường dẫn, tệp bị gửi đi.
• Không loại bỏ các tài khoản mặc định, tạm thời hay tài khoản khách khỏi máy chủ web
• Để mở các port không cần thiết trên máy chủ web
• Sử dụng các thư viện phần mềm đã cũ, lỗi thời
• Sử dụng các giao thức tầng bảo mật lỗi thời
• Để cho các chứng chỉ điện tử bị hết hạn, v.v.

Khi phát triển web app sử dụng các nền tảng đám mây, nên có các quy trình quản lý an toàn và phải được ghi chép lại. Điều này không chỉ áp dụng cho việc thiết lập các trang web mới mà còn cho cài đặt các máy chủ web và các phần mềm phục vụ các trang web đó.

Các tính năng máy chủ web cho phép kiểm soát các tài nguyên và bảo mật sát sao hơn. Tuy nhiên, điều này cũng có thể làm ứng dụng trở nên không an toàn nếu bạn không sử dụng chúng một cách cẩn thận. Hãy luôn cảnh giác khi cấu hình các dịch vụ đám mây.

8. Triển khai HTTPS cho web app

Ở trên, chúng ta đã bàn tới mã hóa ở các điểm trung chuyển của dữ liệu. Một cách thức mã hóa khác áp dụng cho đường truyền dữ liệu cũng rất cần thiết trong việc bảo mật thông tin cho ứng dụng web. Việc này thường được thực hiện bằng cách sử dụng HTTPS (SSL – Secure Sockets Layer).

SSL là công nghệ được sử dụng để thiết lập mối liên kết được mã hóa giữa trình duyệt và máy chủ web. Điều này sẽ đảm bảo được các thông tin đi qua giữa trình duyệt và máy chủ web sẽ mang tính riêng tư. SSL được sử dụng bởi hàng triệu trang web và là chuẩn công nghiệp cho việc bảo vệ giao dịch trực tuyến.

Hơn nữa, việc sử dụng SSL cũng được khuyến nghị, không chỉ bởi vì là nó bảo vệ toàn bộ trang web của bạn, mà còn do các vấn đề dẫn đến việc tốn tài nguyên như Stylesheet, JavaScript hoặc các tệp khác nếu như chúng không được lấy mẫu thông qua HTTPS trên SSL.

Lưu ý quan trọng khi triển khai HTTPS cho web: điều hướng tất cả các trang HTTP sang HTTPS để đạt hiệu quả tốt nhất.

9. Activity Logging & Auditing

Chúng ta cũng nên cân nhắc việc ghi lại lịch sử của các hoạt động trên máy chủ (activity logging) và quản lý chúng. Thông thường, các tính này được tích hợp sẵn trong các nội dung của ứng dụng phần mềm như IIS (Internet Information Services), thông tin luôn sẵn sàng khi bạn có nhu cầu xem lại các hoạt động.

Các bản ghi không chỉ lưu lại các hoạt động đáng ngờ đang được thực hiện, mà còn cung cấp các thông tin hữu ích về hoạt động của một cá nhân (ví dụ nhân viên trong dự án) thông qua việc theo dõi hoạt động của người dùng.

Khác với việc ghi lỗi (error logging), việc lưu lại lịch sử các hoạt động (activity logging) thường không cần thiết lập nhiều vì thường nó sẽ được xây dựng sẵn trong phần mềm máy chủ web. Hãy nhớ đẩy nó lên để phát hiện các hoạt động không mong muốn, theo dõi hành vi của người dùng, và để xem lại các lỗi ứng dụng không được phát hiện ở tầng mã

Trong các trường hợp cực kỳ hiếm hoi, các bản ghi chép sẽ cần thiết cho các thủ tục pháp lý. Vì vậy hãy chắc chắn rằng việc xử lý các dữ liệu activity logging được xử lý hiệu quả.

10. Kiểm thử bảo mật cho ứng dụng web

Việc tận dụng dịch vụ từ bên thứ ba có chuyên môn là kiểm thử xâm nhập và quét lỗ hổng sẽ giúp phát hiện ra những vấn đề bảo mật nghiêm trọng.

Trong bảo mật có một quy tắc luôn đúng là hãy càng cẩn thận càng tốt. Vì một trong những sai lầm khi phát triển ứng dụng web là quá phụ thuộc vào các quy trình QC “cây nhà lá vườn” để phát hiện các lỗ hổng nhỏ trong ứng dụng web.

Các dịch vụ pentest chuyên nghiệp có khả năng phát hiện ra những lỗ hổng ở mức nghiêm trọng cao, gây ra bởi business logic và có thể ảnh hưởng tới cả người dùng lẫn doanh nghiệp phát hành ứng dụng.

Để quá trình kiểm thử diễn ra trơn tru hơn, hãy nên có một quy trình cụ thể và có thể dễ dàng tái sử dụng cho những lần sau. Một chú ý khác là bạn cũng nên kiểm kê kỹ càng cho toàn bộ các ứng dụng web và nơi chúng tồn tại. (Bạn sẽ rơi vào rắc rối nếu cố gắng sửa lỗi bảo mật với một thư viện cụ thể nhưng lại không biết được ứng dụng web nào đang dùng nó.)

Một trong những tiêu chuẩn cơ bản nhất khi tiến hành Pentest Audit cho ứng dụng Web là OWASP Top 10. Đây là tiêu chuẩn quốc tế dành cho việc Kiểm thử xâm nhập và được áp dụng rộng rãi.

Ngoài ra, những ứng dụng web cũng cần tuân thủ các tiêu chuẩn của ngành, ví dụ PCI hay HIPAA. Để chắc chắn, bạn nên tìm kiếm một đối tác bảo mật đã từng có kinh nghiệm thực hiện Pentest Audit cho lĩnh vực của bạn. Họ có thể tư vấn và triển khai Kiểm thử ứng dụng web để đạt tiêu chuẩn ngành, yêu cầu của chính phủ, v.v.

11. Hãy chủ động để bắt kịp với kẻ xấu

Các mối nguy hiểm an ninh mạng không ngừng biến đổi, hacker luôn phát triển cách tấn công mới cũng như chiến thuật mới. Doanh nghiệp cần phải bắt kịp nhịp độ phát triển này nếu muốn bảo vệ tài sản số an toàn.

Thật không quá lời khi nói “sự chủ động là chìa khóa của an ninh mạng”.

Bạn nên có một kế hoạch cụ thể để bảo mật các ứng dụng web của mình theo mức độ ưu tiên. Những ứng dụng nhạy cảm nhất sẽ được tập trung nhiều nguồn lực và kinh phí nhất và ngược lại. Điều này sẽ dễ dàng thực hiện hơn nếu bạn có một bản kiểm kê các ứng dụng web của tổ chức.

Cùng với sự phát triển của các rủi ro bảo mật, bạn cũng nên phát triển các cách tiếp cận và kế hoạch để xử lý chúng. Kẻ địch ngày càng tinh vi hơn, những lỗ hổng ngày càng xuất hiện nhiều hơn. Điều này khiến việc xử lý tất cả các điểm yếu an ninh ngày càng trở nên khó khăn, ngay cả đối với những công ty lớn nhất.

Trên thực tế, bạn không thể chống lại tất cả các cuộc tấn công. Đó là lí do khiến cho quy trình bảo mật và quy trình phản ứng sự cố bảo mật trở nên quan trọng hơn bao giờ hết.

Hãy luôn chủ động giảm thiểu tối đa khả năng kẻ xấu có thể tấn công. Và một khi chúng tấn công, bạn đã chuẩn bị để đương đầu.

Bằng cách đó, ứng dụng web của bạn sẽ luôn được bảo mật tốt nhất và phòng tránh tối đa các cuộc tấn công mạng. Bảo đảm an toàn cho sự phát triển của tổ chức cũng như người dùng ứng dụng.