Questão 2045850

Chaves devem ser geradas criptografadas aleatoriamente e armazenadas na memória como bytes aleatórios, para o uso de senhas, essas devem ser convertidas para uma chave através de uma função específica.

Na injeção de código, o atacante é limitado pela funcionalidade disponível na linguagem injetada. Por exemplo, se um atacante pode injetar código PHP em uma aplicação para ser executado, ele é limitado pelas capacidades do PHP.

O único meio real de se proteger contra IDOR (Referências Inseguras Diretas ao Objeto) é usando identificadores longos e difíceis de adivinhar (como os usados para IDs de sessão).

É possível que aplicações com design seguro apresentem implementações com falhas, e isso pode ocasionar vulnerabilidades que podem ser exploradas. Efetuar verificações de segurança em todas as camadas do projeto, partindo do front-end e indo ao back-end, verificando também os bancos de dados, é uma das formas de prevenir design inseguro.

Podem-se considerar as falhas por configuração insegura como fáceis de explorar, visto que em muitos casos as configurações padrões são mantidas. Um exemplo que possibilita esse tipo de ataque é quando as configurações do servidor permitem apresentação de mensagens detalhadas de erro, como número da versão do sistema ou outras informações que possam indicar os sistemas rodando em back-end.