La sicurezza dell’hosting e del server resta un elemento decisivo per qualsiasi attività online. Anche perché le minacce informatiche sono infinite e c’è sempre bisogno di un approccio proattivo per snidare attacchi che potrebbero mettere in difficoltà la tua attività. Ad esempio, hai mai sentito parlare del Cross-Site Scripting (attacco XSS)? Questo tipo di minaccia non è facile da prevedere e risolvere.
O, almeno, non per chi ha ignorato per mesi o anni la sicurezza di un sito web. Chi si muove in anticipo e con coscienza può muoversi con destrezza tra queste minacce e riuscire ad anticipare il peggio. Ad esempio, sai cosa succede con il Cross-Site Scripting e con l’attività malevola di chi inietta codice non desiderato sulle pagine del tuo sito internet preferito? Ecco qualche dettaglio.
Noto anche come Cross-Site Scripting, l’attacco XSS è una tecnica di hacking malevola che permette al malvivente digitale di iniettare script indesiderato nelle pagine di un sito web. L’obiettivo, di solito, è quello di consentire al browser degli internauti di attivare codice dannoso, in grado di alterare il contenuto e raggiungere degli obiettivi che fanno parte del corollario della criminalità digitale. Come il furto di credenziali e dati sensibili.
Dal punto di vista tecnico, quando un’applicazione web riceve input da un utente e lo include in una pagina senza una validazione o una codifica appropriata, il browser non ha modo di distinguere se quel frammento di codice – che spesso si tratta di JavaScript – sia parte integrante dell’applicazione o un’aggiunta malevola. Ed è così che l’attacco va in porto compromettendo le tue risorse online, danneggiando il pubblico del sito web.
Da leggere: definizione e analisi della minaccia DNS hijacking
Ci sono diverse tipologie di attacchi XSS che si possono verificare, cambiano in relazione al tipo di tecnologia messa in campo. Ad esempio, quando lo script malevolo viene salvato permanentemente sul server (ad esempio in un database, in un commento, in un profilo utente o in un log di sistema) parliamo di Stored XSS basato su un Cross-Site Scripting persistente. Cosa vuol dire?
Ogni utente che visualizzerà la pagina web incriminata diventerà una vittima degli hacker. Una variante è il Reflected XSS, una tipologia nota come Cross-Site Scripting non persistente dove il codice malevolo viene rimandato dal server come parte della risposta HTTP.
Ciò significa che è necessaria un’azione: l’attaccante deve indurre la vittima a cliccare su un link creato ad hoc. A differenza dei primi due, la minaccia DOM-based XSS (DOM sta per Document Object Model) avviene nel browser del client e il codice lato server non è necessariamente coinvolto. Questo rende l’attacco ancora più difficile da individuare, scovare e combattere velocemente.
Per capire meglio cos’è e come funziona l’attacco XSS possiamo provare a delineare un caso concreto, un esempio. Immagina di visitare un sito internet dedicato alle recensioni di strutture alberghiere. Un hacker malevolo (precisazione necessaria, esistono anche hacker etici) scrive una sua opinione e alla fine del testo aggiunge una stringa di codice invisibile.
L’inserimento prevede che il criminale pubblichi il commento: Bellissimo hotel <codice_malevolo>. Il sito salva il commento sul suo database, quando il lettore entra nella pagina per leggere la recensione il browser legge il commento e, arrivato al codice invisibile, lo esegue in completa autonomia. Il codice copia la chiave d’accesso (il cookie di sessione) e la spedisce al server del criminale.
In alcuni casi, l’obiettivo è dimostrativo o vandalico: chi si cimenta in queste imprese criminali cambia il logo, immagini o copy del sito per ridicolizzare l’azienda o lanciare messaggi politici. Ma questi sono casi isolati, sporadici. Il primo obiettivo di un attacco Cross-Site Scripting è il furto di identità e sessione (session hijacking) per rubare i cookie di un sito web che consentono di entrare nel tuo account email, social o magari di un home banking senza mai conoscere la tua vera password. Altro scopo malevolo è il phishing.
La minaccia può modificare il contenuto di una pagina vera per inserire moduli falsi che ti spingono, ad esempio, a immettere i dati della carta di credito. L’utente si fida, ma il modulo è fasullo quindi sta regalando i dati a un criminale. L’XSS può essere usato anche per forzare il browser a scaricare virus, keylogger, ransomware e spyware: basta visitare una pagina colpita per cadere nella trappola.
Da leggere: cos’è un attacco brute force, come e perché bloccarlo
La regola fondamentale: il sito deve essere costruito in modo da eliminare i possibili casi di inserimento dei codici malevoli. Quindi, servono diversi sistemi di filtraggio che controllano ogni informazione prima di mostrarla all’utente. Un esempio concreto: se un campo chiede un numero di telefono, il sistema deve accettare solo numeri. Se qualcuno prova a inserire del codice, il sistema deve scartarlo immediatamente.
Non sei un programmatore ma gestisci un sito con CMS WordPress? Puoi fare molto: in primo luogo devi aggiornare tutto, plugin e core. Ma anche il tema. Gli aggiornamenti di sistema spesso servono proprio a chiudere i buchi da cui passano gli attacchi XSS. Ancora una piccola attenzione: usa plugin di sicurezza perché strumenti come Wordfence o Sucuri agiscono come un firewall, bloccando i tentativi di inserimento di codice.
Hosting gestito: veloce, affidabile, performante
Non permettere a chiunque di inserire codice HTML nei commenti o nei messaggi disabilitando questa funzione e usa strumenti come Google reCAPTCHA v3: oltre a bloccare lo spam, aiuta a prevenire l’invio automatizzato di payload XSS tramite bot. E poi c’è la scelta dell’hosting: deve essere professionale, la scelta fa la differenza perché deve avere un firewall affidabile che filtra il traffico prima ancora che arrivi al tuo sito.
Molti attacchi XSS vengono bloccati proprio lato server e un hosting di qualità sa anche come isolare i singoli utenti nella soluzione condivisa in modo da evitare contaminazioni in caso di attacco al singolo cliente. I provider attenti a queste dinamiche scansionano i tuoi file alla ricerca di stringhe di codice sospette e ti avvisano.
