Studiu de caz: securitatea blogurilor din Constanța


Prin februarie m-am jucat puțin cu ceva software și-am pus-o, ca parte a pregătirii proprii și personale, de un studiu de caz privind securitatea blogurilor din Constanța. Proiectul în cauză s-a focalizat (și nu focusat, FMM de romgleză) pe 24 de bloguri (23 pe platforma WordPress și unul pe Blogspot, cel din urmă neprimind calificativ) și a constat într-o analiză de securitate de nivel 3 (cercetare și analiză primară, fără teste suplimentare de securitate și exploatare de vulnerabilități).

Cum se spune în limba engleză, without further ado, I give you the results.










Cu alte cuvinte, din punct de vedere al securității starea e cam așa:
• cele mai bine cotate bloguri din punct de vedere al securității sunt cele de la poziția 2 respectiv 22, însă deoarece cel de la poziția 2 utilizează protocolul HTTPS acesta va fi considerat cel mai sigur;
• deși blogul de la poziția 9 a obținut cel mai mic punctaj, cel mai vulnerabil blog este considerat -pe fondul existenței singurei vulnerabilități de nivel „Critical”– blogul de la poziția 11.

Cum spuneam mai sus, studiu a fost realizat la nivelul 3. Ca și instrumente, am folosit trei aplicații stand-alone pentru Linux/Windows. Pentru cine e curios, nivelul 2 înseamnă teste suplimentare (și nu, nu dau nume de aplicații pe care le folosesc) iar nivelul 1 înseamnă pen-test (exploatarea vulnerabilităților identificate în testele de nivel 3 respectiv 2, de la SE la good ol’ ./run și ./exploit). După standardele proprii și personale, testul are un nivel de încredere de cca. 95%.

Lecții învățate din test:
• în pofida situației că 1) au acces la informație și 2) lucrează în mediul online, un procent ridicat dintre blogări nu au tangențe cu conceptul de IT Security, InfoSec sau cum vrei s-o numești/abreviezi;
• un procent ridicat din blogării cărora le-am trimis evaluarea pentru blogul propriu nici măcar n-au răspuns e-mail-ului, nu mai spun de chestii de genul „mulțumesc, o să încerc să  remediez/elimin vulnerabilitățile, bla bla bla”;
• că tot spuneam mai sus de lipsa tangențelor cu securitatea, de curiozitate am reanalizat unul dintre bloguri și mi-am confirmat că am avut dreptate – am găsit aceleași probleme ca și la prima analiză.

Aștept cu interes păreri de la persoane cu experiență mai mare decât a mea în audit/analiză de securitate și, din partea celor de mai sus (cu excepția câtorva, care lucrează în domeniu), oferte de preț legate de consultanță în vederea remedierii/eliminării vulnerabilităților. I lol’ed IRL on that last part.


Apropo, urmează ceva similar pentru presa locală (da, știu, lol on that one too) și „cele mai influente 50 de bloguri generaliste din România” (cum ar spune cercetătorii manowarieni, epic lulz were had).