(In)Seguridad en aplicaciones Node.js

bit.ly/seguridad-node

@a0viedo

No importa qué tan bueno seas, todo código es propenso a bugs

Reaccionar rápido es tan importante cómo prevenir

Input del usuario

Demo

childProcess.execFile / childProcess.spawn to the rescue

"Voy a escribir mi propio parser de HTML"

"Voy a escribir mi propio parser de XML"

"Voy a escribir mi propio parser de JSON"

"Voy a escribir mi propio parser de cookies"

"Voy a escribir mi propio parser de URLs"

"Voy a escribir mi propio algoritmo de criptografía"

Inyecciones SQL

Pero MongoDB no usa SQL, por lo que está todo bien

demo nosql

Los drivers de MySQL y PostgreSQL permiten consultas parametrizadas 

Los query builders y ORMs son tus amigos: Knex.js, Bookshelf.js, Sequelize.js, etc.

Todas las dependencias deben instalarse por HTTPS

Tooling

nsp

snyk

Express / Restify

Express está algo roto

(por default)

  • Deshabilitar X-Powered
  • Usar helmet / lusca
  • Usar csurf
  • Usar nombre de cookies genéricos

Qué nos falta

Paquetes firmados en npm (!!!)

Auditorías de seguridad de pentesters

Exigencia de mejores valores por defecto a autores de módulos / frameworks

Recursos

¡Gracias!

twitter.com/a0viedo

github.com/a0viedo

Made with Slides.com