In che modo Amazon gestisce la sicurezza informatica?

Martedì 12 luglio è il sedicente "Prime Day" del gigante della vendita al dettaglio online Amazon e le potenziali offerte significano un'impennata dello shopping online. Progettare sistemi e applicazioni per gestire la quantità di traffico che un sito come Amazon vede giorno per giorno, molto meno durante promozioni come il Prime Day, può essere difficile di per sé. Se a questo si aggiunge la complessità della sicurezza informatica, diventa chiaro il motivo per cui così tanti rivenditori online hanno difficoltà a tenere il passo. Amazon stesso ha una sicurezza relativamente buona, ma cosa significa esattamente per i clienti? Vedremo quali misure Amazon ha messo in atto, cosa significano e alcuni semplici passaggi per rafforzare ulteriormente la sicurezza.

SSL - Mantiene privato il traffico tra i clienti e il sito web

La prima chiave per una buona sicurezza è assicurarsi che le informazioni che passano tra il cliente e il sito web non possano essere lette o prese da terzi. Secure Sockets Layer (SSL) è un meccanismo che crittografa il traffico web, il che significa che solo coloro che sono in possesso di una chiave (tu e il sito web) possono leggere qualsiasi dato.

Ciò impedisce a qualcuno di "annusare" il tuo traffico e leggere in testo normale esattamente ciò che stai facendo. Devi effettuare l'accesso? Se non viene eseguito tramite una connessione SSL, il nome utente e la password vengono inviati in testo normale al sito web. Chiunque lo desideri può intercettare quel traffico e leggerne il contenuto. Con SSL, il traffico può ancora essere intercettato, ma poiché è crittografato, le terze parti vedono solo parole senza senso.

UpGuard giudica SSL in base a tre categorie:

• È crittografato? Sembra semplice, è acceso o spento, giusto? Non esattamente. SSL può essere implementato "in parte" avendo solo determinati siti Web dietro connessioni SSL. Si tratta di una cattiva pratica e può portare a un attacco man in the middle, poiché i clienti vengono passati da corsie non crittografate a corsie crittografate. La crittografia deve essere abilitata su tutta la linea per l'intero sito web.
• Quanto è ben crittografato? Diversi punti di forza della crittografia, diversi metodi di crittografia e diverse esigenze fanno sì che ogni configurazione SSL sia unica. Esaminiamo la capacità del sito web di crittografare i dati. SSL non significa nulla se si basa su una suite di crittografia vecchia e vulnerabile. I siti Web dovrebbero utilizzare le ultime novità per proteggere i propri clienti dalle minacce più recenti. Amazon fa un ottimo lavoro con questo.

• Quanto rigorosamente viene applicato? Controlliamo se il sito Web consente connessioni non SSL o se ti costringe a tornare su un collegamento SSL. Ad esempio, se qualcuno crea un segnalibro e digita http:// anziché https://, potrebbe inavvertitamente ignorare del tutto SSL. Ricorda: SSL dovrebbe essere sempre applicato su tutte le parti del sito web. Nonostante abbia una buona configurazione SSL, questo è un pezzo che Amazon potrebbe migliorare.

Informazioni sull'intestazione: oscura i dettagli del sito Web agli aggressori

È sempre stata pratica per il software del server Web pubblicizzarsi ai clienti. È sempre stato compito degli amministratori di sistema disabilitarlo. Ci sono pochissime ragioni legittime per cui un visitatore di un sito web ha bisogno di sapere quale tipo o versione di server web esegue il sito. Ma ovviamente ci sono molte ragioni per cui qualcuno che cerca di attaccare un sito vorrebbe quelle informazioni. Nonostante siano spesso la configurazione predefinita, queste intestazioni devono essere sempre oscurate per impedire agli hacker di restringere rapidamente i percorsi di attacco. Amazon ha tutte le intestazioni oscurate, ma molti siti non lo fanno.

Cookie sicuri: impedisce al malware del client di impersonare il cliente

Un cookie è un file sul tuo computer che un sito Web memorizza per tenere traccia di varie cose su di te. Queste potrebbero essere le preferenze dell'utente, la posizione e, soprattutto, le tue credenziali. Se fai clic su un sito Web e non devi digitare il tuo nome utente e password ogni volta, probabilmente è perché un cookie è memorizzato sul tuo sistema che il sito Web legge che dice "ehi, ti ricordi di me? " Molto conveniente.

C'è solo un problema: cosa succede se non sei tu a usare il cookie per dire "ehi, ricordati di me?" Il malware utilizza quelli che vengono chiamati attacchi cross-site scripting (XSS) per sfruttare le vulnerabilità dei cookie e impersonare i clienti. Ci sono buone e cattive notizie: esistono metodi per aiutare a prevenire questi attacchi e Amazon non li usa.

• HttpOnly: questa impostazione di configurazione impedisce agli script di accedere al cookie. Quando il malware interroga il cookie, restituisce uno spazio vuoto (invece di dire i tuoi dati di accesso) che viene poi inviato al sito Web dell'hacker. Se questa impostazione di configurazione non è impostata, bene, invia i dettagli di accesso. Questo dovrebbe essere un gioco da ragazzi, in quanto è letteralmente un giro di interruttore da implementare.
• Sicuro: questo flag garantisce che i cookie vengano trasmessi solo attraverso le connessioni crittografate SSL. Come i dati inseriti manualmente, i cookie possono essere letti in transito se non sono crittografati in un tunnel SSL. Poiché i cookie contengono spesso le stesse informazioni sensibili che le persone sono preoccupate di digitare, dovrebbero essere protetti con la stessa attenzione. Il mancato utilizzo di questo flag significa che i cookie saranno consentiti sulle connessioni non crittografate, a quel punto saranno vulnerabili allo snooping.

Tutti i browser moderni sono in grado di gestire questi flag di cookie, quindi non c'è motivo di lasciare queste impostazioni così come sono. Anche se un browser legacy riceve una richiesta per un cookie HttpOnly, riceverà solo un cookie normale. Ma meglio solo le persone che usano browser non supportati rispetto a tutti. Il flag di sicurezza richiede che tutti i siti Web siano su SSL, il che è ottimale, ma se un sito utilizza una vecchia configurazione in cui alcune pagine non sono ancora crittografate, è probabile che debbano lasciare il flag di sicurezza disattivato in modo che i cookie continuino a funzionare per quelle pagine.

Protezione e-mail e DNS - Verifica che le e-mail e gli indirizzi Web siano reali

Probabilmente hai ricevuto e-mail da Amazon: promozioni, offerte, dettagli dell'ordine, ecc. Probabilmente hai anche ricevuto e-mail da persone che affermano di essere Amazon, che cercano di rubare le tue credenziali. Queste sono chiamate e-mail di phishing e inducono con successo le persone a fornire i dettagli del proprio account fingendo di essere un sito Web o un mittente legittimo. Quindi, come si fa a capire la differenza?

I protocolli di posta elettronica come SPF, DKIM e DMARC esistono proprio per questo motivo. Questi meccanismi mettono su Internet informazioni che dicono "la posta da Amazon arriverà SOLO da questi server" e un elenco di server di origine validi. Le e-mail presumibilmente provenienti da Amazon ma provenienti da un altro server di posta verranno rilevate immediatamente per non aver superato il controllo SPF/DMARC e verranno rifiutate come spam. Tutto questo avviene dietro le quinte, con i server di posta che fanno tutto il lavoro per te. Ma se un'azienda non utilizza questi meccanismi, non c'è modo per i server di posta di dire se la posta è vera o falsa, e quindi viene passata a un essere umano, il cui giudizio è in qualche modo meno che infallibile. Amazon utilizza questi meccanismi, un buon segno per un'azienda che invia così tante email.

DNSSEC - Cosa succede quando digiti amazon.com nel tuo browser? La tua richiesta va al .com server dei nomi di dominio principale, che dice "oh, amazon.com è all'indirizzo univoco di 54.239.25.200 " e manda il tuo computer per la sua strada. Ma quando si verifica un hack DNS riuscito, invece di ottenere l'indirizzo legittimo del sito Web desiderato, si ottiene invece un indirizzo scelto dall'hacker, di solito una pagina fittizia per raccogliere le credenziali. DNSSEC è un meccanismo progettato per evitare che ciò accada firmando le risposte di traduzione degli indirizzi con una chiave di crittografia. Le risposte non firmate sono fasulle e vengono cestinate, mentre le risposte firmate superano il test e continuano per il cliente.

Amazon non utilizza DNSSEC, in quanto è relativamente nuovo e un po' difficile da implementare. Tuttavia, poiché le comunicazioni online richiedono maggiore stabilità e integrità, il DNSSEC sarà uno standard che le aziende vogliono soddisfare per garantire la sicurezza dei clienti.

CEO and Company Rating - Misura il rischio di violazione da parte di insider

L'acquisizione dei dati in transito è solo uno dei modi in cui gli aggressori possono accedervi. Una volta che le tue informazioni sono sui server di Amazon, è possibile accedervi anche attraverso una violazione dei dati, simile a quella massiccia che LinkedIn ha sperimentato di recente. Una forma comune di violazione dei dati è una violazione interna, in cui qualcuno che ha già accesso ai dati, ne fa un uso improprio. Abbiamo scoperto che esiste una certa correlazione tra la felicità dei dipendenti e la sicurezza informatica. Ecco perché UpGuard incorpora l'approvazione del CEO e la valutazione dell'azienda da parte di Glassdoor nella nostra valutazione della sicurezza. I dipendenti scontenti o in contrasto con la direzione esecutiva e/o la direzione aziendale hanno molte più probabilità di perpetuare una violazione interna o di consentire che si verifichi una violazione per negligenza. Amazon fa bene su entrambi, riducendo il rischio di un incidente interno.

La sicurezza informatica può essere difficile e complessa, ma solo con l'integrità dei dati e la fiducia dei clienti nel mezzo il business online può avere successo. Il Prime Day potrebbe sembrare una buona trovata ora, ma se tutti coloro che si sono iscritti avessero i loro dati compromessi, sarebbe tutta un'altra storia. Amazon ha una sicurezza decente, ma potrebbe intensificarla solo in alcune altre aree. Dai un'occhiata a uno dei tuoi siti Web preferiti con il valutatore di rischio esterno gratuito di UpGuard per vedere come si posizionano rispetto ad Amazon e altri.