מערכת מאובטחת: תקלות נפוצות כשמחברים לקוחות למערכת

המאמר הזה עוסק במערכת מאובטחת, גם כשהכלי הטכני נשמע אחרת. במסעדה היום נראה כך: הזמנות שולחן בוואטסאפ, תפריט שמשתנה בעל פה, ומשלוחים אצל מי שענה ראשון. לכל אחד יש מה שהוא צריך לראות, ואין לו את השאר. זה כולל את הסוכן ואת הבוט. מגדירים תפקידים, שמים סיסמה שלא עוברת בוואטסאפ, ובודקים מי נכנס. מערכת מידע, סוכן AI ובוט וואטסאפ חולקים הרשאות. חיבור בלי הרשאה הוא פרצה, לא יתרון. הרשאה יורדת ביום שעובד עוזב. לא נשארת כי שכחו. לא שמים את כל העסק אצל ספק אחד בלי לדעת איפה המפתחות. את השאר של המאמר כדאי לקרוא כהסבר: איך בית תוכנה בונה את זה בלי להשאיר את הצוות עם הדגמה, ואיך יודעים שהמערכת אמיתית.

OWASP Top 10 מרכז כשלים נפוצים ביישומי אינטרנט. זה לא רשימת ציות, אלא סדר עדיפויות להכשרה, לסקירת עיצוב ולבדיקות אוטומטיות. המסמך מתעדכן כשדפוסי התקיפה משתנים.

שליטת גישה שבורה עדיין מלווה פריצות רבות: API שסומך על שדות נסתרים, מזהים צפויים שמביאים ל-IDOR, ובדיקות הרשאה חסרות בשרשרת רב-שלבית. התייחסו לכל נקודת קצה כציבורית; אכפו הרשאה ברמת אובייקט ובדקו עם אסימונים מינימליים.

כשלי קריפטו רחבים מ"אלגוריתם לא נכון": חסר TLS, ניהול מפתחות חלש, לוגים עם סודות, "הצפנה" רק בצד לקוח, ואחסון נתונים שלעולם לא היה צריך להישמר. מרכזו החלטות קריפטו והטמיעו רוטציה עם כלים, לא רק כרטיסים.

הזרקה מגיעה בניבים רבים - SQL, פקודות מערכת, LDAP, מסנני ORM ומנועי תבניות. שאילתות פרמטריות וממשקים ממוקדי API נכונים עדיפים על שרשור מחרוזות. שימו לב להזרקה מסדר שני כשקלט "מסונן" מאוחסן ואז מוצג בהקשר אחר.

עיצוב לא בטוח לא נפתר בחומת אש בלבד. יש תהליכים בלי אימות מחדש לפעולה רגישה, שיחה בלי הגנה מפני ניצול, ושוק בלי מודל להונאה. את אלה תופסים כשמתארים את האיום, לא רק בבדיקת חדירה בסוף.

קונפיגורציה שגויה היא מס על מורכבות: שגיאות מפורטות, ברירות מחדל מסוכנות, פאנלים פתוחים, CORS רחב מדי וחסר כותרות אבטחה. שבצו קו בסיס מוקשח על תבניות והריצו סריקות תשתית לפני apply.

רכיבים פגיעים מגדילים סיכון שרשרת אספקה. אחזיקו מנטליות SBOM: תלויות ישירות ועקיפות, מעקב אחר ייעוץ אבטחה, והסרת חבילות שאינן בשימוש אך עדיין נפתרות בזמן ריצה.

כשלי אימות כוללים MFA חלש, ניהול session לקוי, שחזור חשבון תמים והיעדר הגנה מפני בוטים בכניסה. יישרו קו לדגל עוגיות מודרניים ואסימונים קצרי חיים היכן שמתאים.

כשלי שלמות תוכנה ונתונים: ערוצי עדכון לא חתומים, דה-סיריאליזציה מסוכנת וצינורות CI ללא אימות. חתמו על ארטיפקטים; אמתו סיכומים; הגבילו דה-סיריאליזציה למקורות מהימנים.

לוגים וניטור לקויים מעוורים מגנים. תעדו החלטות אימות, פעולות מנהל ושגיאות אבטחה לאחסון בלתי ניתן לשינוי בקלות. בדקו שההתראות מגיעות לסבב אנשים ולא לתיבת דואר מתה.

SSRF מסוכן במיוחד בענן שבו שירותי מטא-דאטה ופאנלים פנימיים הופכים לגשרי יצוא. חסמו כתובות מטא-דאטה ב-egress כשהמדיניות מאפשרת, אמתו יעדים מול רשימות מורשות, ובידדו לקוחות HTTP פנימיים.

תהליך חשוב: מפו את פריטי ה-Top 10 לארכיטקטורה שלכם, הקצה בעלים, ומדדו צמצום סיכונים בסקירות חוזרות - לא תיאטרון שנתי.

לסיכום: OWASP מתרגם כלכלת תקיפה לעדיפויות הנדסיות - גישה, קריפטו, קלט, עיצוב, קונפיג, תלויות, אימות, שלמות, ראות ו-SSRF. השתמשו בו כדי לכוון תקציב, לא רק לקשט שקופיות.

אפשר לחזור מכאן לשיחה פשוטה: תביאו מי רואה היום לקוחות, כספים ותעודות, גם אם זה "כולם, כי ככה יצא". אפשר לפתוח את המערכת בבוקר בלי לפחד שמישהו לקח איתו את המפתח הביתה. ההצעה נשארת אותה הצעה: סוכני AI, מערכת מידע ובוט וואטסאפ, עם אישור אנושי, דרך ספק רשמי של Meta.