Costa Rica JS
Seguridad en JavaScript
Quien Soy?
- Alberto Cole
- Web Architect | Capilleira
- Mobile | JavaScript
- Move Fast And Break Things
Que esperar de la charla?
- Conceptos de Seguridad Web
- Implementación de esos conceptos en JavaScript
- Librerías que implementan los conceptos
- Verme fallar miserablemente escribiendo código en vivo
XSS
- Scripts maliciosos
- DOM
- Vectores
- Almacenado
- Difícil de mitigar
- Ocurren en el servidor y en el cliente
XSS - Como mitigarlo?
- eval() is evil
- sanitize ('desinfectar' segun google translate x_X)
- filtrar HTML antes de imprimirlo
- toda entrada de datos al sistema deben ser verificados
- toda impresión de datos en el sistema deben ser filtrados
XSS - Libs
- google-caja
- https://www.npmjs.com/package/validator
HTTP Headers
X-XSS-Protection
- XSS
- Built-In
HTTP Headers
Strict-Transport-Security
- Session Data
- Man-In-The-Middle Attacks
- SSL
HTTP Headers
X-Frame-Options
- Clickjacking
HTTP Headers
X-Content-Type-Options
- MIME sniffing
- Drive by Download
HTTP Headers
Content-Length
- DDOS
HTTP Headers
Content-Security-Policy
- Evita varios ataques
- De <<laboriosa>> Configuración
HTTP Headers
X-Powered-By
- Opacidad
https://github.com/krakenjs/lusca
https://github.com/helmetjs/helmet
JWT
- Mobile Ready
- Token-Based
- Seguridad en APIs
- Control de Expiración
- Cookies vs. Tokens
JWT
- Nonce / Heartbeat
- Rápida Expiración
- Blacklist
- Replay Attacks
- XSS vs CSRF
JSHint
- Detección de Errores
- 'use strict';
- Problemas potenciales
- Código sin calidad es inseguro e infantil (por esta razón JS es tomado como un juguete).
- Vivir en Libertad tiene una gran responsabilidad
JSCS
- "Every line of code should appear to be written by a single person, no matter the number of contributors." - @mdo
- Promueve buenas prácticas de codificación en un equipo.
- https://github.com/airbnb/javascript
Monitoreo de Aplicaciones
- Memory Leaks
- Clustering
- Load Balance
- DDOS
- Fault Tolerance
Monitoreo de Aplicaciones
- Forever.js
- PM2
- Strongloop ARC
Links de Interes
- https://www.owasp.org/index.php/List_of_useful_HTTP_headers
- https://www.owasp.org/index.php/DOM_based_XSS_Prevention_Cheat_Sheet
- https://github.com/auth0/angularjs-jwt-authentication-tutorial
- http://self-issued.info/docs/draft-ietf-oauth-json-web-token.html
- http://jwt.io/
- https://auth0.com/blog/2014/01/27/ten-things-you-should-know-about-tokens-and-cookies/
- http://jscs.info/overview.html
- http://codeguide.co/
- http://codingexplained.com/operating-systems/mac/installing-nginx-os-x-yosemite
- http://strongloop.com/node-js/arc/
- https://github.com/Unitech/pm2
- http://lmgtfy.com/?q=google.com