Seguridad 6: Buenas Prácticas y Secure Coding

1. Validación y Sanitización de Entradas

Nunca confíes en la entrada del usuario. Toda entrada externa debe ser validada y sanitizada antes de procesarse.

Validación (rechazar lo inválido)

Verificar que el dato cumple con el formato esperado antes de usarlo.

❌ Incorrecto

# PHP - Sin validación
$id = $_GET['id'];
$query = "SELECT * FROM usuarios WHERE id = $id";

✅ Correcto

# PHP - Validación estricta
$id = filter_input(INPUT_GET, 'id', FILTER_VALIDATE_INT);
if ($id === false || $id < 1) {
    die("ID inválido");
}
$query = "SELECT * FROM usuarios WHERE id = ?";

Sanitización (limpiar lo peligroso)

Eliminar o escapar caracteres peligrosos según el contexto de salida.

# Python - Sanitización para HTML (contra XSS)
import html
user_input = "<script>alert('XSS')</script>"
safe_output = html.escape(user_input, quote=True)
# Resultado: &lt;script&gt;alert('XSS')&lt;/script&gt;

# JavaScript - Sanitización
const safe = DOMPurify.sanitize(userInput);

💡 Regla de oro: Valida la entrada (rechaza lo malo), sanitiza la salida (escapa lo necesario). Usa siempre prepared statements para SQL.

2. Hash de Contraseñas con bcrypt

Nunca almacenes contraseñas en texto plano ni uses algoritmos rápidos como MD5/SHA-1. Usa funciones diseñadas para hash de contraseñas.

Bcrypt — el estándar actual

Incluye salt automático (protege contra rainbow tables).
Factor de costo ajustable (más lento = más seguro contra fuerza bruta).
Recomendado: 10-12 rondas (costo).
Salida: 60 caracteres, formato $2b$10$[salt][hash].

# Node.js con bcrypt
const bcrypt = require('bcrypt');
const saltRounds = 12;

async function registrar(password) {
    const hash = await bcrypt.hash(password, saltRounds);
    // Guarda 'hash' en la base de datos
    return hash;
}

async function verificar(password, hashAlmacenado) {
    const match = await bcrypt.compare(password, hashAlmacenado);
    return match;  // true o false
}

# Python con bcrypt
import bcrypt
password = b"MiContraseñaSegura123"
salt = bcrypt.gensalt(rounds=12)
hash = bcrypt.hashpw(password, salt)
# Verificar
bcrypt.checkpw(password, hash)  # True

Alternativas modernas

Argon2id — ganador del Password Hashing Competition (2015). Recomendado para nuevas implementaciones.
scrypt — resistente a ataques con ASIC/GPU.
bcrypt — ampliamente compatible, sigue siendo seguro con costo ≥ 10.

⚠️ No uses: MD5, SHA-1, SHA-256 (directos, sin salt), o algoritmos personalizados. Todos son demasiado rápidos para hash de contraseñas.

3. Logging y Monitoreo Seguro

Los logs son esenciales para detectar y responder a incidentes, pero mal manejados pueden exponer información sensible.

Qué registrar

✅ Intentos de autenticación (exitosos y fallidos).
✅ Accesos a datos sensibles.
✅ Cambios en configuraciones de seguridad.
✅ Errores del sistema y excepciones.
✅ Tráfico de red sospechoso.
❌ NO registrar contraseñas, tokens, o datos personales sensibles.
❌ NO registrar información de tarjetas de crédito.

Ejemplo con logging estructurado

# Python - Logging seguro
import logging
import json

logger = logging.getLogger("seguridad")
handler = logging.FileHandler("/var/log/app/audit.log")
formatter = logging.Formatter('%(asctime)s - %(name)s - %(levelname)s - %(message)s')
handler.setFormatter(formatter)
logger.addHandler(handler)

# Bueno: registrar intento sin datos sensibles
logger.warning(f"Intento de login fallido - usuario: {username} - IP: {ip}")

# Malo: exponer la contraseña en logs
logger.error(f"Login fallido - usuario: {username} - password: {password}")  # ❌

Protección de logs

Rotación de logs (logrotate).
Permisos 640 o 600 (solo lectura para el usuario de la app).
Centralización segura con syslog/TLS o ELK Stack.
Retención: mínimo 90 días, 1 año para cumplimiento.

4. OWASP Cheat Sheet Series

OWASP proporciona guías de referencia rápida (Cheat Sheets) para las prácticas de seguridad más importantes.

Cheat Sheets esenciales

Cheat Sheet	Descripción
SQL Injection Prevention	Prepared statements, parametrización, escapes.
XSS Prevention	Output encoding, Content Security Policy (CSP).
Password Storage	bcrypt, Argon2, salt, pepper.
Authentication	MFA, sesiones seguras, rate limiting.
Input Validation	Whitelist vs blacklist, tipos de datos, rangos.
Content Security Policy	Cabecera CSP para mitigar XSS.
Logging	Qué y cómo registrar eventos de seguridad.

5. Principios Generales de Secure Coding

Principio de mínimo privilegio: cada componente solo tiene los permisos necesarios.
Defensa en profundidad: múltiples capas de seguridad (firewall, WAF, validación, cifrado).
Seguridad por defecto: las configuraciones inseguras deben ser opt-in, no opt-out.
Fallo seguro: cuando algo falla, debe hacerlo en estado seguro (denegar acceso, no concederlo).
No inventes criptografía: usa bibliotecas probadas (OpenSSL, libsodium, bcrypt).
Mantén las dependencias actualizadas: revisa regularmente con npm audit, pip audit, Dependabot.
SECRETS: nunca hardcodees claves/tokens — usa variables de entorno o vaults (HashiCorp Vault).

🔐 Checklist de Seguridad para Desarrolladores

Validar TODAS las entradas del usuario
Usar prepared statements para SQL
Escapar salida HTML (XSS prevention)
Hash de contraseñas con bcrypt/Argon2
Implementar MFA/2FA
Configurar Content Security Policy (CSP)
Usar HTTPS en toda la aplicación
No hardcodear secrets
Registrar eventos de seguridad
Mantener dependencias actualizadas
Hacer threat modeling en el diseño
Revisión de código con foco en seguridad

📚 Recursos Adicionales

OWASP Cheat Sheet Series — guías de referencia
OWASP Top 10 — vulnerabilidades web
OWASP ASVS — estándar de verificación
CWE (Common Weakness Enumeration) — catálogo de debilidades
SANS Security Resources — whitepapers

📌 Resumen Final del Curso

Lección 1: Principios CIA, autenticación vs autorización, modelos de confianza.
Lección 2: Criptografía simétrica (AES), asimétrica (RSA), hash (SHA), TLS/HTTPS.
Lección 3: OWASP Top 10 — SQLi, XSS, CSRF, autenticación rota, SSRF.
Lección 4: Hardening Linux — puertos, firewall, SSH seguro, updates, sysctl.
Lección 5: Análisis — Nmap, OpenVAS, CVSS, informes, Metasploit.
Lección 6: Secure coding — validación, bcrypt, logging, OWASP Cheat Sheets.

🎓 La seguridad es un proceso, no un producto. Sigue aprendiendo y mejorando.

✅ Buenas Prácticas y Secure Coding