This thesis activity was conducted at beSharp S.p.A., an IT consulting company based in Pavia and a specialist in AWS cloud services. The Noovolari team at beSharp develops Leapp, an open-source cloud credentials manager available on macOS, Windows, and Linux platforms. Because this software handles sensitive user data, the development team has decided to invest more time on penetration testing activity to identify the crucial security aspects focusing on use cases involving AWS access methods only. A structured activity was conducted following the Penetration Testing Execution Standard (PTES) and the OWASP Top 10 for Desktop Applications. Moreover, several tools already established in the industry were used to support the analysis. The analysis shows that the current configuration should be reviewed to limit navigation and middle-click use. It will mitigate the risk associated with external sources loaded within the application window. For future releases, developers should also consider the main window configuration. A vulnerability in this scope can lead to executing code remotely. Furthermore, an XSS vulnerability in a secondary window was found. Under certain circumstances, it can be exploited for RCE. Leapp manages some sensitive data insecurely. Session cookies are stored in plain text on the user's device; session cookies theft may lead to session hijacking. Moreover, the authentication token, received by Leapp during the federated login process, is not encrypted; this lack of encryption exposes the secret to credentials theft. Lastly, developers should pay more attention to what they publish on the GitHub repository. The digital certificate to sign applications in the Windows environment was mistakenly pushed to the Leapp public repository, endangering the company's reputation if cracked. After conducting this analysis on Leapp, developers are much more aware of several aspects regarding the security of their software. Some use cases still have to been analyzed. Repeating the penetration testing on new Leapp releases and performing an in-depth memory analysis is crucial to make this activity more exhaustive.
Security Assessment di un un Gestore di Credenziali per l'accesso al Cloud tramite Penetration Testing. Questa attività di tesi è stata svolta presso beSharp S.p.A., società di consulenza informatica con sede a Pavia e specialista in servizi cloud AWS. Il team Noovolari di beSharp sviluppa Leapp, un gestore di credenziali cloud open source disponibile su piattaforme macOS, Windows e Linux. Poiché questo software gestisce i dati sensibili degli utenti, il team di sviluppo ha deciso di investire più tempo nell'attività di penetration testing per identificare gli aspetti cruciali della sicurezza concentrandosi sui casi d'uso che coinvolgono solo i metodi di accesso di AWS. Un'attività strutturata è stata condotta seguendo il Penetration Testing Execution Standard (PTES) e l'OWASP Top 10 per le applicazioni desktop. Inoltre, a supporto dell'analisi sono stati utilizzati diversi strumenti già affermati nel settore. L'analisi mostra che la configurazione attuale dovrebbe essere rivista per limitare la navigazione e l'uso del click centrale del mouse. Attenuerà il rischio associato al caricamento di sorgenti esterne caricate nella finestra dell'applicazione. Per le versioni future, gli sviluppatori dovrebbero anche considerare la configurazione della finestra principale. Una vulnerabilità in questo ambito può portare all'esecuzione di codice da remoto. Inoltre, è stata rilevata una vulnerabilità XSS in una finestra secondaria. In determinate circostanze, può essere sfruttata per RCE. Leapp gestisce alcuni dati sensibili in modo non sicuro. I cookie di sessione sono memorizzati in chiaro sul dispositivo dell'utente; il furto dei cookie di sessione può portare al session hijacking. Inoltre, il token di autenticazione, ricevuto da Leapp durante il processo di login federato, non è cifrato; la mancanza di cifratura espone il segreto al furto delle credenziali. Infine, gli sviluppatori dovrebbero prestare maggiore attenzione a ciò che pubblicano sul repository GitHub. Il certificato digitale per firmare le applicazioni in ambiente Windows è stato erroneamente pubblicato sul repository pubblico di Leapp, mettendo in pericolo la reputazione dell'azienda se violato. Dopo aver condotto questa analisi su Leapp, gli sviluppatori sono molto più consapevoli di diversi aspetti riguardanti la sicurezza del proprio software. Alcuni casi d'uso devono ancora essere analizzati. Ripetere i test di penetrazione sulle nuove versioni di Leapp ed eseguire un'analisi approfondita della memoria è fondamentale per rendere questa attività più esaustiva.
A Cloud Credential Manager Security Assessment via Penetration Testing
POMPA, ANDREA
2021/2022
Abstract
This thesis activity was conducted at beSharp S.p.A., an IT consulting company based in Pavia and a specialist in AWS cloud services. The Noovolari team at beSharp develops Leapp, an open-source cloud credentials manager available on macOS, Windows, and Linux platforms. Because this software handles sensitive user data, the development team has decided to invest more time on penetration testing activity to identify the crucial security aspects focusing on use cases involving AWS access methods only. A structured activity was conducted following the Penetration Testing Execution Standard (PTES) and the OWASP Top 10 for Desktop Applications. Moreover, several tools already established in the industry were used to support the analysis. The analysis shows that the current configuration should be reviewed to limit navigation and middle-click use. It will mitigate the risk associated with external sources loaded within the application window. For future releases, developers should also consider the main window configuration. A vulnerability in this scope can lead to executing code remotely. Furthermore, an XSS vulnerability in a secondary window was found. Under certain circumstances, it can be exploited for RCE. Leapp manages some sensitive data insecurely. Session cookies are stored in plain text on the user's device; session cookies theft may lead to session hijacking. Moreover, the authentication token, received by Leapp during the federated login process, is not encrypted; this lack of encryption exposes the secret to credentials theft. Lastly, developers should pay more attention to what they publish on the GitHub repository. The digital certificate to sign applications in the Windows environment was mistakenly pushed to the Leapp public repository, endangering the company's reputation if cracked. After conducting this analysis on Leapp, developers are much more aware of several aspects regarding the security of their software. Some use cases still have to been analyzed. Repeating the penetration testing on new Leapp releases and performing an in-depth memory analysis is crucial to make this activity more exhaustive.È consentito all'utente scaricare e condividere i documenti disponibili a testo pieno in UNITESI UNIPV nel rispetto della licenza Creative Commons del tipo CC BY NC ND.
Per maggiori informazioni e per verifiche sull'eventuale disponibilità del file scrivere a: unitesi@unipv.it.
https://hdl.handle.net/20.500.14239/14532