За прошедший год количество взломов сайтов в интернете увеличилось на 32%, по данным, представленным Google. Это может показаться неожиданным, учитывая, что существует все больше и больше средств защиты, предотвращающих угрозы для сайтов. Однако, числа не лгут и злоумышленники по прежнему успешно усовершенствуют свои методы.

Медиа-порталы, правительственные учреждения, сайты банков и мобильных операторов – вот те ресурсы, на которые чаще всего направлены атаки. Первое, злоумышленники могут получить немалый доход, взломав такие сайты. Второе, у них может быть доступ к важной информации. Тем не менее, ни один сайт не является совершенно безопасным. Сайты меньших компаний также могут быть целью неблагонадежных элементов и находиться под наблюдением людей, которые рано или поздно могут попытаться взломать их. Некоторые маленькие сайты используются в качестве плацдармов для тренировки или для нецелевых атак на более крупные ресурсы.

В настоящее время каждый третий сайт может оказаться под наблюдением исследователей и потенциальных злоумышленников. Владельцам сайтов следует нацелиться на максимальную защиту своих сайтов, чтобы обезопасить свою важную информацию и денежные средства. В нашем обзоре мы расскажем о протоколе безопасного соединения HTTPS, сертификатах безопасности, видов уязвимости сайтов и о том, каким образом можно обезопасить свой сайт.

Зачастую сайты страдают от уязвимостей, через которые осуществляются большинство атак. Эти "уязвимости" – изначальные дефекты в коде или программном обеспечении сайта, которые могут быть использованными нарушителем для нарушения работы системы. Происхождение уязвимостей может быть связано с ошибками в проектировании сайта или нерадивым поведением пользователей, которые устанавливают ненадежные пароли.

Например, системы аутентификации и управления сессиями, небезопасные прямые ссылки на объекты и отсутствие контроля доступа к функциональному уровню – наиболее распространенные уязвимости. Более тщательная проверка и настройка конфигурации сайта могут также предотвратить возможные атаки. Некоторые уязвимости могут приводить к утечке ценной информации, атакующие могут добраться до чувствительных данных, таких как пароли или личные данные пользователей.

Другие типы уязвимостей могут включать использование устаревших компонентов, "невалидированные" перенаправления или "кликджекинг" - техники, используемые для незаметного перенаправления пользователей на другие сайты или выполнения нежелательных действий без их ведома. По сути, уязвимости сайта подобны открытому ларчику, который может быть легко взломан и обокраден.

Протокол http, по которому передаются данные, не обеспечивает должного уровня защиты, что делает информацию уязвимой для хакерской атаки. В 1994 году был создан протокол https, который использует криптографическую систему SSL/TLS для шифрования данных и обеспечения защищенного соединения через незащищенный канал.

При установке соединения по протоколу https, пользовательский компьютер и сервер генерируют секретный ключ, который используется для шифрования передаваемой информации. Секретный ключ генерируется при каждом сеансе связи, и его длина составляет более ста знаков, что делает его почти невозможным для подбора. Для гарантированной надежности защиты используется цифровой сертификат для идентификации сервера. При установке соединения по https, первым делом браузер проверяет подлинность сертификата, и только после подтверждения его подлинности начинается обмен данными.

Как перенести сайт на протокол HTTPS

Многие веб-сайты по-прежнему работают на нешифрованных протоколах HTTP, что грозит уязвимостью для защиты личных данных пользователей, вредоносными программами и хакерскими атаками. Перевод сайта на протокол HTTPS (шифрованный HTTP) является наилучшим решением в данной ситуации, поскольку он делает передачу данных более безопасной. Далее представлены шаги, как это сделать.

Шаг 1. Получение сертификата и его настройка

Сертификат - это документ, удостоверяющий авторство владельца сайта и защищающий данные, передаваемые по протоколу HTTPS. Для получения сертификата необходимо обратиться в центр сертификации, где понадобится заполнить некоторые формы и уплатить сбор. Существуют бесплатные сертификаты, для небольших сайтов можно вполне использовать их. Однако, если ваш сайт принимает платежи онлайн или содержит конфиденциальную информацию, премиум сертификаты, имеющие возможность расширенной аутентификации и включения субдоменов, будут более подходящими.

После получения сертификата, его нужно настроить, чтобы перенаправить все запросы с HTTP на HTTPS.

Шаг 2. Обработка внутренних ссылок

Поскольку HTTPS не заменится HTTP автоматически, появится ситуация, когда сайт загрузит смешанный контент. Полные ссылки внутри сайта нужно заменить на относительные ссылки с помощью скриптов, чтобы избежать этой проблемы.

Шаг 3. Создание перенаправления

После настройки сертификата, сайт становится доступным по двум протоколам - HTTP и HTTPS. Чтобы избежать смешивания протоколов, рекомендуется перенаправить трафик с протокола HTTP на HTTPS с помощью прямого редиректа "301".

Шаг 4. Изменение файла robots.txt

Этот шаг не является обязательным, однако изменение файла robots.txt поможет поисковым роботам обнаружить сайт с измененным протоколом.

Шаг 5. Включение HTTPS Strict-Transport-Security

Это шаг может быть немного сложным, так как каждый сервер имеет свои особенности. Для облегчения этого процесса рекомендуется обратиться к специалистам, которые уже работали с данной задачей. Кроме того, необходимо включить Secure Cookies, чтобы обеспечить дополнительную защиту информации на сайте.

Переход на протокол HTTPS является необходимостью в современном мире. Применение описанных выше шагов поможет защитить ваш сайт от возможных угроз и обеспечить безопасную передачу данных.

Как выбрать сертификат безопасности для сайта (TLS/SSL)

При выборе сертификата безопасности для вашего сайта, вы можете выбрать один из двух путей. Если у вас небольшой офлайн-бизнес или личный блог, и вы просто хотите донести информацию о своей компании до потенциальных клиентов, лучшим выбором будет Domain Validation SSL. Этот вид сертификата не позволяет защищать субдомены и не подходит для проведения финансовых операций через сайт, однако его можно получить быстро и просто, подтвердив свое владение доменом. Это можно сделать несколькими способами: через e-mail, через запись в DNS и через хэш-файл. Стоимость таких сертификатов бывает относительно невелика, например, всего 610 рублей в год.

Для владельцев сайтов, на которых предполагаются финансовые онлайн-операции, необходимо установить сертификаты типа Business Validation. Этот вид сертификата более надежный, поскольку подтверждает не только владение доменом, но и связь компании с сайтом. Для получения такого сертификата необходимо отправить в верификационный центр пакет документов и принять звонок на корпоративный номер. Виды сертификатов Business Validation включают:

• Extended Validation SSL – это сертификаты с расширенной проверкой, которые обычно используются банками, платежными системами, крупными интернет-магазинами и всеми, кто работает с большими объемами денег.
• Wildcard SSL – данный сертификат защищает сам сайт и его поддомены. Он используется тогда, когда вы предполагаете наличие нескольких поддоменов с разной региональной привязкой.
• SAN SSL – поддерживает внешние и внутренние альтернативные доменные имена.
• CodeSigning SSL – данный сертификат подтверждает безопасность кодов и программных продуктов с сайта, что очень полезно разработчикам приложений.

Независимо от выбранного сертификата, вам необходимо сгенерировать запрос на его получение, содержащий всю информацию о владельце домена и открытый ключ. Затем запрос направляется в центр верификации, после чего выдаются сертификат и файл с ключом. Файл с ключом ни в коем случае не должен попадать в открытый доступ. Стоимость сертификатов такого типа может быть несколько сотен тысяч рублей. К примеру, приблизительная стоимость Symantec Secure Site Wildcard составляет от 281 967 рублей в год.

Независимо от того, какую стоимость вы готовы заплатить, необходимо понимать, что проведение онлайн-операций без сертификата безопасности – это неприемлемо. Безопасность ваших данных на сайте должна быть приоритетной задачей, и лучше потратить деньги и время на обеспечение этой безопасности, чем затем тратить эти же ресурсы на востановительные меры и борьбу с негативной репутацией, которую может причинить взлом вашего сайта. Если ваш сайт связан с онлайн-торговлей, то безопасность должна быть вашим главным приоритетом.

Это не полный список известных уязвимостей, а новые появляются все чаще и чаще. Сегодня мы остановимся только на одном типе уязвимости — небезопасной передаче данных и рассмотрим ключевые виды атак, связанных с ней. За последнее время, около 73% взломов сайтов, например, в мобильных банковских системах, были связаны с этой уязвимостью.

В интернете каждое действие является обменом данными. Когда пользователь заходит на сайт или отправляет сообщение в социальной сети, компьютер отправляет запрос серверу и получает ответ. Обычно, этот обмен осуществляется по протоколу HTTP. Протокол устанавливает правила обмена данными, и благодаря ему содержание сайта загружается на устройство.

Однако, хотя протокол HTTP очень удобен в использовании, данные, которые по нему передаются, абсолютно не защищены. Эти данные передаются в открытом виде. На пути от пользователя до сервера информация многократно проходит через различные промежуточные узлы. Если злоумышленник получит доступ к хотя бы одному из этих узлов, он сможет легко перехватить передаваемые данные. В корне уязвимости лежит небезопасность передачи данных и риски, связанные с этим важным моментом.

Ниже приведены некоторые из видов атак, вызванных небезопасной передачей данных:

Кража паролей - одно из самых распространенных преступлений в интернете. Какое-то время назад хакерская группировка CyberVor совершила огромный кражу. Они украли 4,5 миллиарда учетных записей, включая логины и пароли, с 420 000 веб-сайтов. Хакеры взломали множество ресурсов от крупных компаний до личных сайтов. По оценкам американской компании HoldSecurity, занимающейся информационной безопасностью, это самая большая база учетных данных, которая попала в руки преступников.

По статистике, каждый год 15% пользователей становятся жертвами мошенничества с кредитными картами или мошенничества с персональными данными. Одна из основных причин кражи - это кража паролей к аккаунту или административной части сайта. Кражка может произойти из-за вируса, устаревшей версии браузера, через который был введен пароль, или даже по причине легко подбираемого простого пароля.

Несмотря на реальную опасность хакерского вмешательства, многие владельцы сайтов используют не защищенные каналы аутентификации. Это означает, что пароли без труда могут быть перехвачены мошенниками.

Кража пароля дает хакерам доступ к сайту и информации о клиентах, что дает им большую возможность для мошенничества. Например, с сайта могут рассылаться спам-сообщения. Кроме этого, хакеры могут использовать информацию о клиентах с выгодой для себя, таким образом, украденные пароли могу быть использованы для снятия денег с банковских карт.

В то время как крупные компании, такие как банки, постоянно работают над защитой своих паролей, мелкие интернет-магазины, форумы, торрент-трекеры часто пренебрегают этим вопросом. Хакеры знают об этом и поэтому часто атакуют именно их.

Взлом сайтов может быть произведен через хостинг-провайдера. Существует несколько причин, по которым это может произойти.

Во-первых, сервер может быть установлен устаревшим программным обеспечением, которое хакерам легче взломать. Это особенно верно, если сравнивать его с новым программным обеспечением.

Во-вторых, взлом может произойти через соседей по аккаунту. Обычно на одном сервере размещается несколько сайтов, которые соседствуют друг с другом. Если один из этих сайтов легко взламывается, то все соседние сайты могут быть тоже скомпрометированы.

В-третьих, если сайт не размещен у профессионального провайдера, есть риск его взлома. Например, сайт может быть размещен у программиста-друга, для экономии денег. Однако, если у этого программиста нет необходимых компетенций и опыта, защита сервера будет уязвима.

Недавно хакерская группировка совершила взлом серверов подпольного хостинга Freedom Hosting II. Этот инцидент показал, как хакеры могут скомпрометировать более 10 000 сайтов сети Tor и похитить базу данных хостинга, содержащую более 381 000 адресов электронной почты пользователей.

Взлом CMS: Уязвимости популярных систем

Для управления контентом, структурой и дизайном сайта, многие люди используют системы управления сайтом, такие как Content Management System (CMS). Такие системы делают программирование, дизайн и поддержку сайта доступными даже для тех, кто имеет очень смутное представление о программировании и веб-архитектуре.

Однако, как и все виды ПО, CMS содержат уязвимости, которые могут быть использованы хакерами для взлома. Угроза особенно актуальна для популярных систем, поскольку их взлом дает возможность взломать сразу десятки тысяч сайтов по всему миру.

По данным компании Sucuri, занимающейся веб-безопасностью, в третьем квартале 2016 года самыми уязвимыми CMS были WordPress (74%), Joomla (17%) и Magento (6%). Большинство атак произошло из-за невнимания администраторами к установке обновлений безопасности.

Хакеры, используя эти уязвимости системы, могут размещать на сайте вредоносный код, заражающий компьютеры посетителей, публиковать контент сомнительного содержания или перенаправлять пользователя на другие сайты с таким контентом. Это может привести к существенному ущербу для репутации сайта и уменьшению количества посетителей.

Как защититься от взлома сайта через модули и компоненты вне CMS?

Нельзя отрицать, что взлом сайта, работающего на CMS, в «чистом виде» – очень сложная задача даже для самых опытных хакеров. Однако, опасность для сайта может представляться компонентами, модулями и плагинами, которые создаются сторонними разработчиками. Например, установка компонента комментариев с «дырой» в системе безопасности может позволить хакерам залить на сайт специальный скрипт и выполнить взлом.

Чтобы избежать подобных угроз вашему сайту, следует в первую очередь проверить все установленные модули и компоненты. Если вы заметите, что какой-то плагин или модуль устарел и не получает нужные обновления, лучше всего удалить его. Также стоит регулярно обновлять все компоненты, которые находятся на сайте, и осуществлять поиск и устранение всех выявленных уязвимостей в системе.

Помимо этого, для большей защиты рекомендуется использовать систему мониторинга, которая способна обнаружить любого хакера, пытающегося быстро войти в систему и выполнить взлом. Не забывайте также о правильной настройке системы безопасности на уровне сервера — это поможет предотвратить взломы в самом начале.

Уязвимость, известная как SQL-инъекция, возникает в результате некорректной обработки данных, переданных пользователем. Злоумышленники используют эту уязвимость для внедрения вредоносного кода в запрос к базе данных и модификации, а порой и выполнения запросов, которые программой не предусмотрены. Это может привести к получению злоумышленником доступа к защищенным данным, к которым в обычных условиях он не имел бы доступа.

Использование SQL-инъекций позволяет злоумышленникам красть, уничтожать или подменять данные, а также провоцировать сбои в работе системы (DDoS). Известно, что взломы некоторых известных сайтов, таких как Yahoo, LinkedIn и eHarmony, могли быть осуществлены именно с помощью SQL-инъекций.

Отчет компании Akamai Technologies, Inc. за 1 квартал 2016 года указывает на существенный рост нападений, связанных с SQL-инъекциями - на 87% по сравнению с предыдущим периодом.

Основные цели атак злоумышленников - это сайты с медиа и развлекательным контентом (около 60%), онлайн-сервисы (30%) и правительственные сайты (10%).

Существует целый ряд методов защиты от SQL-инъекций, включая использование лицензионного ПО, регулярное обновление CMS, отказ от простых паролей и небезопасных браузеров, а также установку межсетевого экрана. Протокол https также считается эффективным средством защиты. О его преимуществах и особенностях мы расскажем далее.

HTTPS - это дополнение к протоколу HTTP, которое обеспечивает надежное шифрование передаваемой информации между пользователем и сервером. Такая защита предотвращает возможные утечки данных и делает веб-сайт надежным в глазах пользователей.

Эксперты утверждают, что использование протокола HTTPS является необходимым для защиты конфиденциальной информации и предотвращения возможных кибератак. Браузеры Google Chrome и Mozilla Firefox даже предупреждают пользователей о том, что сайт, на котором они находятся, не является защищенным, если он использует обычный протокол HTTP вместо HTTPS.

Таким образом, для того чтобы обеспечить безопасность веб-сайта, необходимо использовать протокол HTTPS для защиты информации и предотвращения возможных утечек данных.

Переход на https – необходимость или рекомендация?

Все сайты не обязаны переходить на https. Однако, если веб-ресурс работает с конфиденциальными данными клиентов, то использование защищенного протокола является обязательным. В остальных случаях решение о переходе на https принимает владелец сайта. Хотя утечка информации, которая может произойти в результате взлома, способна навредить любому веб-ресурсу: от рассылки спама до переходов на незащищенные сайты.

Кроме того, использование протокола https является большим плюсом для сайтов в глазах клиентов и пользователей. Они доверяют компании больше, когда соединение обеспечивает безопасность данных. Более того, сайты с защищенным соединением получают более высокую ранжировку в поисковых системах.

Фото: freepik.com