SEGURANÇA NO DESENVOLVIMENTO DE APLICAÇÕES

>> Gestão da Segurança da Informação e Comunicações >> 2009-2011

Maristela Terto de Holanda

Jorge Henrique Cabral Fernandes

SEGURANÇA NO DESENVOLVIMENTO

DE APLICAÇÕES

GSIC701

VERSÃO 1

Este material é distribuído sob a licença creative commons

http://creativecommons.org/licenses/by-nc-nd/3.0/br/

Secretaria Pedagógica

Andréia Lacê

Eduardo Loureiro Jr.

Lívia Souza

Odacyr Luiz Timm

Ricardo Sampaio

Assessoria Técnica

Gabriel Velasco

Secretaria Administrativa

Indiara Luna Ferreira Furtado

Jucilene Gomes

Martha Araújo

Equipe de Produção Multimídia

Alex Harlen

Lizane Leite

Rodrigo Moraes

Equipe de Tecnologia da Informação

Douglas Ferlini

Osvaldo Corrêa

Edição, Revisão Técnica e de Língua Portuguesa

Jorge Henrique Cabral Fernandes

CEGSIC

Coordenação

Jorge Henrique Cabral Fernandes

Texto e ilustrações: Maristela T. de Holanda; Jorge Henrique C. Fernandes | Capa, projeto gráfico e diagramação: Alex Harlen

Desenvolvido em atendimento ao plano de trabalho do Programa de Formação de Especialistas para a Elaboração da

Metodologia Brasileira de Gestão de Segurança da Informação e Comunicações – CEGSIC 2009-2011.

José Elito Carvalho Siqueira

Ministro do Gabinete de Segurança Institucional

Antonio Sergio Geromel

Secretário Executivo

Raphael Mandarino Junior

Diretor do Departamento de Segurança da Informação e

Comunicações

Reinaldo Silva Simião

Coordenador Geral de Gestão da Segurança da

Informação e Comunicações

Fernando Haddad

Ministro da Educação

UNIVERSIDADE DE BRASÍLIA

José Geraldo de Sousa Junior

Reitor

João Batista de Sousa

Vice-Reitor

Pedro Murrieta Santos Neto

Decanato de Administração

Rachel Nunes da Cunha

Decanato de Assuntos Comunitários

Márcia Abrahão Moura

Decanato de Ensino de Graduação

Oviromar Flores

Decanato de Extensão

Denise Bomtempo Birche de Carvalho

Decanato de Pesquisa e Pós-graduação

Noraí Romeu Rocco

Instituto de Ciências Exatas

Priscila Barreto

Departamento de Ciência da Computação

Dilma Rousseff

Presidente da República

>> CEGSIC 2009-2011 >> Segurança no Desenvolvimento de Aplicações

3

Sumário

[5] Currículo resumido dos autores

[6] 1. Introdução

[7] 2. Software e seu Processo de Desenvolvimento

2.1 Software • . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7

2.2 Processo de desenvolvimento de software •. . . . . . . . . . . . . . . . . . . . . . . . . . 8

2.3 Modelos de processo de software •. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8

2.4 O Problema da Segurança no Software •. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10

[12] 3. Arquitetura de Aplicações Internet/Web

3.1 O Protocolo HTTP •. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13

[16] 4. Riscos nos desenvolvimento de aplicações

Internet/Web

4.1 Injeção de SQL •. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18

4.2 Cross-Site Scripting (XSS) •. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19

4.3 Outros riscos de ataques •. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21

[22] 5. Segurança no Desenvolvimento de Aplicações e

Software Seguro

5.1 Software Seguro •. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22

5.2 Desenvolvimento de Software Seguro •. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22

5.2.1 –