Объективные данные от Google говорят о том, что количество взломов сайтов в интернете увеличилось на 32% в 2016 году по сравнению с предыдущим годом, а предсказания говорят о росте этого показателя в будущем. Видится, что с увеличением количества и качества средств защиты, угрозы сайтам могли бы быть меньше, однако, статистика исходна и хакеры успешно совершенствуют свое мастерство. В этом обзоре мы продолжим обсуждение темы, затронутой в Google статистике, и расскажем о различных аспектах, связанных с безопасностью сайтов.

Чаще всего злоумышленники направляют свои усилия на сайты банков, мобильных операторов, известные медиапорталы и правительственные учреждения, так как взлом таких сайтов может принести громадные доходы и дать доступ к ценной информации. Однако даже те сайты, которые не привлекают такое внимание, не имеют гарантий, что они не станут жертвами различных видов уязвимостей. Практика показывает, что взлом данных сайтов – это лишь вопрос времени. Небольшие сайты могут быть использованы злоумышленниками как плацдарм для тренировок на пути к взлому больших сайтов, либо для проведения массовых атак, когда взламывается множество сайтов, выбранных на определенном критерии. Кроме того, существует мнение, что каждый третий сайт оказывается под наблюдением посторонних людей, которые изучают его уязвимости и могут совершить взлом в любой момент.

Если вы являетесь владельцем сайта, не следует заблуждаться и чувствовать себя в безопасности. Главная задача владельца заключается в максимальной защите сайта от всех возможных угроз, чтобы не потерять важную информацию и свои финансы. Какие же меры можно предпринять для защиты своего сайта? Существуют специальные протоколы безопасного соединения, сертификаты безопасности и различные инструменты для обнаружения уязвимостей сайтов. В этом обзоре мы рассмотрим подробнее эти и другие важные вопросы, связанные с безопасностью веб-сайтов.

Зачастую сайты страдают от уязвимостей, через которые осуществляются большинство атак. Эти "уязвимости" – изначальные дефекты в коде или программном обеспечении сайта, которые могут быть использованными нарушителем для нарушения работы системы. Происхождение уязвимостей может быть связано с ошибками в проектировании сайта или нерадивым поведением пользователей, которые устанавливают ненадежные пароли.

Например, системы аутентификации и управления сессиями, небезопасные прямые ссылки на объекты и отсутствие контроля доступа к функциональному уровню – наиболее распространенные уязвимости. Более тщательная проверка и настройка конфигурации сайта могут также предотвратить возможные атаки. Некоторые уязвимости могут приводить к утечке ценной информации, атакующие могут добраться до чувствительных данных, таких как пароли или личные данные пользователей.

Другие типы уязвимостей могут включать использование устаревших компонентов, "невалидированные" перенаправления или "кликджекинг" - техники, используемые для незаметного перенаправления пользователей на другие сайты или выполнения нежелательных действий без их ведома. По сути, уязвимости сайта подобны открытому ларчику, который может быть легко взломан и обокраден.

Как устроен https и почему это безопасно

Использование протокола http для передачи данных не является безопасным, так как информация может быть легко украдена хакерами. Чтобы избежать такой возможности, в 1994 году был создан протокол https, который использует криптографическую систему SSL/TLS, чтобы зашифровать все передаваемые данные и обеспечить безопасное соединение через незащищенный канал.

При установлении соединения по протоколу https компьютеры пользователей и сервера генерируют некий секретный ключ, который передается между ними и используется для шифрования передаваемой информации. Ключ создается заново каждый раз при установлении соединения, поэтому его практически невозможно перехватить или подобрать — это число, содержащее более ста знаков. Кроме того, для повышения безопасности используется цифровой сертификат, идентифицирующий сервер. При установке соединения по https браузер сначала проверяет подлинность сертификата, а только после этого начинается обмен данными.

Таким образом, использование протокола https гарантирует безопасность передаваемой информации, так как она защищена шифрованием и аутентифицируется сертификатом сервера.

Как перенести сайт на протокол HTTPS

Многие веб-сайты по-прежнему работают на нешифрованных протоколах HTTP, что грозит уязвимостью для защиты личных данных пользователей, вредоносными программами и хакерскими атаками. Перевод сайта на протокол HTTPS (шифрованный HTTP) является наилучшим решением в данной ситуации, поскольку он делает передачу данных более безопасной. Далее представлены шаги, как это сделать.

Шаг 1. Получение сертификата и его настройка

Сертификат - это документ, удостоверяющий авторство владельца сайта и защищающий данные, передаваемые по протоколу HTTPS. Для получения сертификата необходимо обратиться в центр сертификации, где понадобится заполнить некоторые формы и уплатить сбор. Существуют бесплатные сертификаты, для небольших сайтов можно вполне использовать их. Однако, если ваш сайт принимает платежи онлайн или содержит конфиденциальную информацию, премиум сертификаты, имеющие возможность расширенной аутентификации и включения субдоменов, будут более подходящими.

После получения сертификата, его нужно настроить, чтобы перенаправить все запросы с HTTP на HTTPS.

Шаг 2. Обработка внутренних ссылок

Поскольку HTTPS не заменится HTTP автоматически, появится ситуация, когда сайт загрузит смешанный контент. Полные ссылки внутри сайта нужно заменить на относительные ссылки с помощью скриптов, чтобы избежать этой проблемы.

Шаг 3. Создание перенаправления

После настройки сертификата, сайт становится доступным по двум протоколам - HTTP и HTTPS. Чтобы избежать смешивания протоколов, рекомендуется перенаправить трафик с протокола HTTP на HTTPS с помощью прямого редиректа "301".

Шаг 4. Изменение файла robots.txt

Этот шаг не является обязательным, однако изменение файла robots.txt поможет поисковым роботам обнаружить сайт с измененным протоколом.

Шаг 5. Включение HTTPS Strict-Transport-Security

Это шаг может быть немного сложным, так как каждый сервер имеет свои особенности. Для облегчения этого процесса рекомендуется обратиться к специалистам, которые уже работали с данной задачей. Кроме того, необходимо включить Secure Cookies, чтобы обеспечить дополнительную защиту информации на сайте.

Переход на протокол HTTPS является необходимостью в современном мире. Применение описанных выше шагов поможет защитить ваш сайт от возможных угроз и обеспечить безопасную передачу данных.

Как выбрать подходящий сертификат для защиты сайта

При выборе сертификата для защиты сайта вы можете выбрать из двух вариантов. Если у вас маленький офлайн-бизнес или личный блог, и вы просто хотите донести информацию о своей компании до потенциальных клиентов, рекомендуется использовать Domain Validation SSL. Этот тип сертификации не позволяет защищать субдомены или совершать финансовые операции через сайт. Однако такой сертификат выдается быстро и работать с ним можно мгновенно после подтверждения владения доменом. Существуют несколько способов подтверждения владения доменом, таких как: через электронную почту, запись в DNS и хэш-файл. Стоимость таких сертификатов весьма доступна, только 610 рублей в год, например.

Если у вас сайт, на котором предполагается совершение финансовых операций, то необходима установка сертификата Business Validation. Этот тип сертификата более надежен, так как подтверждает не только владение доменом, но и связь компании с сайтом. Чтобы подтвердить подлинность, необходимо отправить в зарегистрированный центр верификации пакет документов и принять звонок на корпоративный номер. В сертификаты Business Validation входят несколько типов:

• Extended Validation SSL – сертификаты с улучшенной проверкой, используемые преимущественно банками, платежными системами и крупными онлайн-магазинами – организациями, которые имеют дело с большими объемами денежных средств.
• Wildcard SSL – защищает не только сам сайт, но и его поддомены. Используется, если предполагается несколько поддоменов с разной региональной привязкой.
• SAN SSL – поддерживает внешние и внутренние альтернативные доменные имена.
• CodeSigning SSL – обеспечивает безопасность кодов и программных продуктов на сайте и пригодится разработчикам приложений.

Но перед тем как выбрать сертификат, необходимо сгенерировать запрос на его получение, содержащий всю информацию о хозяине домена и открытый ключ. Запрос отправляется в центр верификации. После выдачи сертификата и файла с ключом, важно убедиться, что он не доступен никому, кроме вас. Такие сертификаты могут стоить несколько сотен тысяч рублей, например, Symantec Secure Site Wildcard будет стоить примерно 281 967 рублей в год.

Не стоит экономить на обеспечении безопасности сайта. Гораздо проще и дешевле потратить время и деньги на защиту, чем бороться с негативными последствиями взлома, что может привести к попаданию в негативный свет и, в конечном итоге, к неудаче бизнеса. Если ваш сайт связан с онлайн-торговлей, обеспечение безопасности должно быть основной задачей для его владельца.

Это не полный список известных уязвимостей, а новые появляются все чаще и чаще. Сегодня мы остановимся только на одном типе уязвимости — небезопасной передаче данных и рассмотрим ключевые виды атак, связанных с ней. За последнее время, около 73% взломов сайтов, например, в мобильных банковских системах, были связаны с этой уязвимостью.

В интернете каждое действие является обменом данными. Когда пользователь заходит на сайт или отправляет сообщение в социальной сети, компьютер отправляет запрос серверу и получает ответ. Обычно, этот обмен осуществляется по протоколу HTTP. Протокол устанавливает правила обмена данными, и благодаря ему содержание сайта загружается на устройство.

Однако, хотя протокол HTTP очень удобен в использовании, данные, которые по нему передаются, абсолютно не защищены. Эти данные передаются в открытом виде. На пути от пользователя до сервера информация многократно проходит через различные промежуточные узлы. Если злоумышленник получит доступ к хотя бы одному из этих узлов, он сможет легко перехватить передаваемые данные. В корне уязвимости лежит небезопасность передачи данных и риски, связанные с этим важным моментом.

Ниже приведены некоторые из видов атак, вызванных небезопасной передачей данных:

Кража паролей - одно из самых распространенных преступлений в интернете. Какое-то время назад хакерская группировка CyberVor совершила огромный кражу. Они украли 4,5 миллиарда учетных записей, включая логины и пароли, с 420 000 веб-сайтов. Хакеры взломали множество ресурсов от крупных компаний до личных сайтов. По оценкам американской компании HoldSecurity, занимающейся информационной безопасностью, это самая большая база учетных данных, которая попала в руки преступников.

По статистике, каждый год 15% пользователей становятся жертвами мошенничества с кредитными картами или мошенничества с персональными данными. Одна из основных причин кражи - это кража паролей к аккаунту или административной части сайта. Кражка может произойти из-за вируса, устаревшей версии браузера, через который был введен пароль, или даже по причине легко подбираемого простого пароля.

Несмотря на реальную опасность хакерского вмешательства, многие владельцы сайтов используют не защищенные каналы аутентификации. Это означает, что пароли без труда могут быть перехвачены мошенниками.

Кража пароля дает хакерам доступ к сайту и информации о клиентах, что дает им большую возможность для мошенничества. Например, с сайта могут рассылаться спам-сообщения. Кроме этого, хакеры могут использовать информацию о клиентах с выгодой для себя, таким образом, украденные пароли могу быть использованы для снятия денег с банковских карт.

В то время как крупные компании, такие как банки, постоянно работают над защитой своих паролей, мелкие интернет-магазины, форумы, торрент-трекеры часто пренебрегают этим вопросом. Хакеры знают об этом и поэтому часто атакуют именно их.

В последнее время все чаще взломы сайтов происходят из-за ошибок хостинг-провайдеров. Это обусловлено тремя причинами.

Во-первых, причиной может быть устаревшее программное обеспечение, установленное на сервере. Это становится проблемой, так как взломщикам проще взломать сайт, работающий на устаревшей системе, чем на самой новой.

Во-вторых, взлом происходит через соседние аккаунты. В большинстве случаев сайты размещаются не на отдельных серверах, а на общих. Рядом с вашим сайтом может работать другой сайт, который не защищен. Как только он взломан, мошенник легко обращается к другим аккаунтам на сервере.

В-третьих, взлом может произойти из-за экономии на выборе хостинг-провайдера. Например, вы можете остановить свой выбор на услугах знакомого вам программиста, который будет отвечать за сервер. Но если он не компетентен в вопросах безопасности, сервер может быть взломан через уязвимые компоненты и настройки.

Недавно, в начале года, хакерская группировка взломала серверы Freedom Hosting II, специализирующегося на подпольном хостинге. В результате было скомпрометировано более 10 000 сайтов сети Tor, а также была похищена база данных, содержащая адреса электронной почты 381 000 пользователей.

Взлом CMS: Уязвимости популярных систем

Для управления контентом, структурой и дизайном сайта, многие люди используют системы управления сайтом, такие как Content Management System (CMS). Такие системы делают программирование, дизайн и поддержку сайта доступными даже для тех, кто имеет очень смутное представление о программировании и веб-архитектуре.

Однако, как и все виды ПО, CMS содержат уязвимости, которые могут быть использованы хакерами для взлома. Угроза особенно актуальна для популярных систем, поскольку их взлом дает возможность взломать сразу десятки тысяч сайтов по всему миру.

По данным компании Sucuri, занимающейся веб-безопасностью, в третьем квартале 2016 года самыми уязвимыми CMS были WordPress (74%), Joomla (17%) и Magento (6%). Большинство атак произошло из-за невнимания администраторами к установке обновлений безопасности.

Хакеры, используя эти уязвимости системы, могут размещать на сайте вредоносный код, заражающий компьютеры посетителей, публиковать контент сомнительного содержания или перенаправлять пользователя на другие сайты с таким контентом. Это может привести к существенному ущербу для репутации сайта и уменьшению количества посетителей.

Как защититься от взлома сайта через модули и компоненты вне CMS?

Нельзя отрицать, что взлом сайта, работающего на CMS, в «чистом виде» – очень сложная задача даже для самых опытных хакеров. Однако, опасность для сайта может представляться компонентами, модулями и плагинами, которые создаются сторонними разработчиками. Например, установка компонента комментариев с «дырой» в системе безопасности может позволить хакерам залить на сайт специальный скрипт и выполнить взлом.

Чтобы избежать подобных угроз вашему сайту, следует в первую очередь проверить все установленные модули и компоненты. Если вы заметите, что какой-то плагин или модуль устарел и не получает нужные обновления, лучше всего удалить его. Также стоит регулярно обновлять все компоненты, которые находятся на сайте, и осуществлять поиск и устранение всех выявленных уязвимостей в системе.

Помимо этого, для большей защиты рекомендуется использовать систему мониторинга, которая способна обнаружить любого хакера, пытающегося быстро войти в систему и выполнить взлом. Не забывайте также о правильной настройке системы безопасности на уровне сервера — это поможет предотвратить взломы в самом начале.

Уязвимость, известная как SQL-инъекция, возникает в результате некорректной обработки данных, переданных пользователем. Злоумышленники используют эту уязвимость для внедрения вредоносного кода в запрос к базе данных и модификации, а порой и выполнения запросов, которые программой не предусмотрены. Это может привести к получению злоумышленником доступа к защищенным данным, к которым в обычных условиях он не имел бы доступа.

Использование SQL-инъекций позволяет злоумышленникам красть, уничтожать или подменять данные, а также провоцировать сбои в работе системы (DDoS). Известно, что взломы некоторых известных сайтов, таких как Yahoo, LinkedIn и eHarmony, могли быть осуществлены именно с помощью SQL-инъекций.

Отчет компании Akamai Technologies, Inc. за 1 квартал 2016 года указывает на существенный рост нападений, связанных с SQL-инъекциями - на 87% по сравнению с предыдущим периодом.

Основные цели атак злоумышленников - это сайты с медиа и развлекательным контентом (около 60%), онлайн-сервисы (30%) и правительственные сайты (10%).

Существует целый ряд методов защиты от SQL-инъекций, включая использование лицензионного ПО, регулярное обновление CMS, отказ от простых паролей и небезопасных браузеров, а также установку межсетевого экрана. Протокол https также считается эффективным средством защиты. О его преимуществах и особенностях мы расскажем далее.

HTTPS - это дополнение к протоколу HTTP, которое обеспечивает надежное шифрование передаваемой информации между пользователем и сервером. Такая защита предотвращает возможные утечки данных и делает веб-сайт надежным в глазах пользователей.

Эксперты утверждают, что использование протокола HTTPS является необходимым для защиты конфиденциальной информации и предотвращения возможных кибератак. Браузеры Google Chrome и Mozilla Firefox даже предупреждают пользователей о том, что сайт, на котором они находятся, не является защищенным, если он использует обычный протокол HTTP вместо HTTPS.

Таким образом, для того чтобы обеспечить безопасность веб-сайта, необходимо использовать протокол HTTPS для защиты информации и предотвращения возможных утечек данных.

Следует ли переходить на протокол HTTPS? Решение принимает владелец сайта

Последнее время переход на защищенный протокол HTTPS становится все более популярным. Однако, необходимость использования данного протокола для всех сайтов без исключения не является жестким требованием. Например, если сайт работает с конфиденциальными данными клиентов, то установка HTTPS является обязательной. В остальных случаях решение о переходе или остаются на текущей версии протокола принимает владелец сайта.

Несмотря на это, отсутствие HTTPS может привести к серьезным последствиям для сайта, таким как рассылка спама, перенаправление пользователей на сайты с сомнительным контентом или даже полное уничтожение сайта в случае взлома.

Стоит отметить, что использование HTTPS оказывает положительное влияние на работу сайта. Надежное соединение создает больше доверия у клиентов и пользователей. Кроме того, сайты с защищенным соединением имеют более высокий рейтинг в поисковых системах.

Фото: freepik.com