Hola amigos, bienvenidos a esta clase donde vamos a estar viendo otra de las vulnerabilidades dentro
del top ten de Hoops.
En este caso vamos a estar viendo la vulnerabilidad XML que están viendo en pantalla en uno de que lo
pueden visualizar ustedes mismos en la página que les mostré en un principio.
Pero primero hacer una aclaración.
Primero en principal, que es un XML de una forma directa o indirecta.
Ya lo hemos visto en una de las prácticas en la clase que se encuentra como siete clases más para arriba
desde esta que se llama práctica, XML, equipaje y sección.
Pero e inevitablemente tengo que hablar por ella exclusivamente y por eso vamos a crear una clase teórica
a lo que es netamente kml, ya que como les mostraba recién, es que inclusive webs lo marca pura y
exclusivamente dentro de su top team que se lo quiero mostrar.
Está acá.
Fíjense bien, entidades externas XML, pero justamente antes de empezar a hablar de las vulnerabilidades
y cómo lo pueden evitar, es importante saber qué es XML.
XML es el acrónimo de Extensibles Markov Lynko Lenguaje, es decir, un lenguaje de mercado que define
un conjunto de reglas para la codificación de documentos, pero no en otras palabras.
Es el lenguaje de mercado.
Es que es un conjunto de código que se pueden aplicar en el análisis de datos o la lectura de textos
creados por computadora o personas con el lenguaje.
XML proporciona una plataforma para definir elementos para crear un formato y generar un lenguaje personalizado.
Por eso hablamos de un archivo XML.
No se divide en dos partes bueno, Prolog, el reloj, el perdón, el Prolog y Boddy donde bueno, tampoco
la idea es aprender XML, sino que entiendan de qué se trata o no estamos hablando de esto y justamente
cuáles son sus vulnerabilidades.
Bueno, las aplicaciones que están creadas en XML y particularmente sus servicios web están basados
en XML o las integraciones que utilicen XML pueden ser vulnerables a ataques.
Si la aplicación acepta XML de manera directa, carga el XML de una fuente no confiable o inserta datos
no confiables en documentos XML.
Algo muy similar cuando hablamos o hablamos o establecemos medios de comunicación cuando decimos que
tenemos SSL, o sea HTTPS.
Y por último, estos datos son analizados sintéticamente por el procesador XML.
Qué pasa?
El atacante puede justamente agarrar la hoja y que GNL, por decirlo de alguna manera visual y modificarla
o insertar, por ejemplo.
Por eso, cualquiera de los procesadores XML utilizados en la aplicación o los servicios web basados
en SOAP.
Que importante decir que swap swap.
La sigla significa Simple Object Access Protocol es un estándar de protocolo que define como dos objetos
en diferentes procesos.
Pueden comunicarse por medio del intercambio de datos XML.
Por eso no es dato menor hablar y decir que sobre swap.
Este protocolo el swap deriva de un protocolo creado.
Bueno, en realidad no necesario empezar a hablar tanto en sí de historias, sino que entiendan y sepan
que es el medio, el protocolo, el medio de comunicación con XML.
Entonces deseamos que cualquier cualquiera de los procesadores XML utilizada por la aplicación o los
servicios web basados en SOAP poseen están habilitadas las definiciones de tipo de documento.
Bueno, esto dado que los mecanismos exactos para deshabilitar el procesamientos de esta nueva comunicación
varía para cada procesador, por así decirlo.
Bien, estos son justamente uno de los tantos medios que existen que pueden podemos vulnerar.
Pero la pregunta clave es entonces bueno, cómo?
Qué recaudos tomamos?
Que acaso estaremos hablando de un contexto de.
Establecer medios de comunicación seguros, entonces.
Por ejemplo, una solución de ser posible, sería utilizar formato de datos un poco menos complejos,
como por ejemplo Jaison famoso Yato.
Aunque bueno, para quienes saben un poco más de programación conocerán un poco que Yeison, un medio
a través el cual podemos enviarnos información y de esa manera evitar la serialización de datos confidenciales,
por ejemplo.
Obviamente, inevitablemente acá tenemos que hablar de actualización en Gmail, en donde debemos accesar
los procesadores de la biblioteca de de XML que utiliza la aplicación que este formato XML no queda
exento ante la actualización de versiones mucho más más seguro sadas utilizar validador de dependencia.
Por ejemplo, también actualizar el swap a una versión 1.2 o mayor recuerden swap, protocolo y medio
de comunicación y también es importante deshabilitar las entidades externas de XML.
También podemos implementar la validación de entrada positiva del servidor que se suele conocer como
lista blanca e filtrado y la sanitizacion para prevenir el ingreso de datos dañinos dentro de los documentos,
cabeceras y nodos de Gmail.
Esto qué quiere decir?
Cómo vamos a situarnos acá?
Porque acá estamos hablando tanto de cómo prevenir y le estoy volviendo a mencionar el modus operandi
del ataque porque el XML nosotros no podemos intervenir con herramientas como SAP, como Pursuit, Sweet
y justamente a través de estas herramientas al interceptar XML nosotros podemos capturarlo y de ahí
inyectar el datos.
Por eso acá yo le estoy mencionando esto de Sanitizacion para prevenir los ingresos de datos al niño
de documentos, canceres o nodo XML.
Y por último, el último consejo es verificar que la funcionalidad de carga de archivo XML o también
los conocidos XML valide el XML entrante.
De esta manera, nosotros estamos validando que se corresponda al XML original, por así decirlo.
Versus si ayer fue lo modificó a priori o en el durante la comunicación.
Bueno amigos, espero que no azotÃ a la clase.
Les dejo un abrazo digital.