Egy gyerek kérdése jobban megfogalmazta, mit csinálok, mint száz szakmai szó. Álljon itt a történet — és mi van mögötte valójában.
Amikor letettem a Pentest+ vizsgámat, otthon büszkén meséltem. A testvérem gyereke végighallgatott, komolyan bólogatott, aztán feltette élete legjogosabb kérdését:
„De miért kell tollakat tesztelni?”
Néhány másodpercbe telt, mire leesett. Nem, nem tollakat tesztelek. A „pentest” a penetration testing, magyarul behatolásteszt. De bevallom: azóta is a fülemben cseng a „toll tesztelő”, úgyhogy felvállalom a címet.
Akkor mit is csinálok valójában?
Képzelje el, hogy felbérel valakit, hogy kívülről, az Ön engedélyével megpróbáljon bejutni a rendszerébe — pontosan úgy, ahogy egy valódi támadó is tenné. A különbség csak annyi, hogy én utána nem lépek le a zsákmánnyal, hanem leülök Önnel, és elmondom: itt a rés, így lehetett volna kihasználni, és ezt kell tennie, hogy betömje — mielőtt más találja meg.
Ez a behatolásteszt. A lényege nem a „hekkelés” romantikája, hanem egy nagyon prózai cél: hogy az Ön weboldala, webshopja, a mögötte álló rendszer kibírjon egy valódi próbálkozást.
Miért sérülékeny a legtöbb kis cég?
Nem azért, mert hanyagok. Hanem mert egyszerűen nincs, aki ránézzen a biztonságra. Jellemző, csendes hibák, amiket évekig senki nem vesz észre:
- lejárt HTTPS-tanúsítvány, amitől a böngésző „nem biztonságos”-at ír a látogatónak;
- elavult, nyilvánosan ismert hibás szoftververzió, amit a szerver magától kiír;
- rosszul beállított levélhitelesítés (SPF/DMARC), amivel bárki küldhet a cég nevében;
- egy feltört, régi bővítmény, amiről a tulajdonos nem is tud — egészen addig, amíg az oldal fel nem kerül a Google feketelistájára, és egyik napról a másikra senki sem éri el.
Ezek nem elméleti rémtörténetek. Ezeket hétről hétre látom működő, rendes cégek oldalán.
Mit tegyen?
Ha van weboldala vagy webshopja, és még sosem nézte meg senki „a támadó szemével”, érdemes egyszer megnézetni. Nálam ez kívülről, érthető nyelven indul: megmondom, mi látszik, mi a kockázat, és mivel érdemes kezdeni.
Addig is, egyetlen jó tanács a gyerektől tanult logikával: a tollat bízzuk a gyártóra. A weboldala biztonságát viszont ne bízza a véletlenre.
