Talk apresentado no segundo Meetup de Node.JS de São Paulo.

1. Como Fazer Apps Node.Js
SEGURAS

2. @paulo_hp

4. Eu não sou um
especialista em segurança
web!

5. Como
você inicia
uma aplicação?

6. Muita
Coisa
Pra Pensar

7. Regras de Negócio
Modelagem
Frameworks?
Node.JS?

8. Você trabalha
igual louco
e coloca o app
em produção

9. + usuários
+ visibilidade
+ exposição

10. Você fica
vulnerável

11. SE
GU
RAN
ÇA?

12. Segurança quase nunca
entra em pauta!

13. Maioria dos ataques
acontecem na
camada de
aplicação

14. Como prevenir
esses ataques
em nossos apps
Node.JS?

15. Defesa

16. XSS

17. localhost:8000/?name=<script>alert(1)</script>

18. Encode
Untrusted
Data

19. SSJSi

20. eval() is evil

21. {"symbol" : "ASDF"}
A chamada para eval avalia assim a string:
({"symbol" : "ASDF"})

22. Mas se ao invés de
um simples JSON,
o atacante enviar
um código
JS malicioso?

23. res.end('success')

24. O servidor executa
esse comando,
retornando o texto
"success" como
resposta HTTP.

25. Com essa resposta,
o atacante sabe que
seu server é
vulnerável.

26. E assim ele pode
enviar códigos
que realmente causam
estragos.

27. DoS*deprecated

28. Um ataque efetivo DoS
pode ser executado
simplesmente enviando
um comando

29. while(1)

30. Um descuido como
esse pode dar acesso
aos arquivos, processos
e até ao seu banco NoSQL

31. Algumas pequenas
coisas podem ser feitas
para evitar, como validar
inputs com RegEx e
evitando o uso de
eval()

32. e
se você usa
versão antiga,
ATUALIZE!

33. CSRF

34. Ativando o uso de CSRF
no Express.JS

35. app.js
form.html

36. Garanta o uso correto
dos metodos
HTTP

37. Nomes de Cookies
Genéricos

39. X-Powerd-By

40. Esse valor não interessa
muito pra nós, e pode
ser removido facilmente

42. Avalie os módulos
externos do
NPM

43. nodesecurity.io

44. Eduque os desenvolvedores
com OWASP Top 10
owasp.org

45. Inclua testes de segurança
no ciclo de
desenvolvimento

46. vlw :D