Martes, 4 de mayo de 2010
Publicado también en
Google Online Security Blog
Queremos que los Googlers tengan un firme entendimiento de las amenazas a las que se enfrentan nuestros servicios, así como de cómo
ayudar a protegerse contra dichas amenazas. Trabajamos para lograr estos objetivos de diversas maneras, incluyendo
capacitación en seguridad para nuevos ingenieros, presentaciones técnicas sobre seguridad y otros tipos de
documentación. También utilizamos codelabs (tutoriales de programación interactivos que guían a los
participantes a través de tareas de programación específicas).
Un codelab en particular enseña a los desarrolladores sobre los tipos comunes de vulnerabilidades
en aplicaciones web. Siguiendo la filosofía de que “se necesita un hacker para atrapar a un hacker”, el
codelab también demuestra cómo un atacante podría explotar tales vulnerabilidades.
Lanzamos este codelab, titulado “Web Application Exploits and Defenses”, hoy en
coordinación con
Google Code University y
Google Labs
para ayudar a los desarrolladores de software a reconocer, solucionar y evitar mejor fallas similares en sus
propias aplicaciones. El codelab está construido alrededor de Gruyere, una pequeña pero completa aplicación
de microblogging diseñada para contener muchos errores de seguridad. Las vulnerabilidades cubiertas por el
laboratorio incluyen cross-site scripting (XSS), falsificación de peticiones en sitios cruzados (XSRF) y
cross-site script inclusion (XSSI), así como manipulación del estado del cliente, recorrido de rutas y
vulnerabilidades de AJAX y configuración. También muestra cómo simples errores pueden conducir a la divulgación
de información, denegación de servicio y ejecución remota de código.
El dicho “con suficientes ojos, todos los errores son superficiales” solo es verdad si los
ojos saben qué buscar. Con ese fin, los errores de seguridad en Gruyere son errores reales, al igual que
los de muchas otras aplicaciones. El código fuente de Gruyere se publica bajo una licencia Creative Commons y está
disponible para su uso en ejercicios de piratería de caja blanca o en clases de ciencias de la computación que
cubren seguridad, ingeniería de software o desarrollo de software general.
Para empezar, visita
https://google-gruyere.appspot.com/.
Una guía para instructores sobre el uso del codelab ya está disponible en
Google Code University.
Cómo lo aplicamos
We archive Search Central announcements because client questions often trace back to a change that was announced years ago. Reading the original is faster than reconstructing it from second-hand summaries.
Servicios relacionados