Mam wrażenie, że mało kto słyszał o open-source’owym projekcie secureCodeBox, spod znaku OWASP. W sumie to się nie dziwię, bo ja pierwszy raz usłyszałem o nim kilka miesięcy temu, kiedy aplikowałem na stanowisko związane z obszarem Application Security, które akurat miało w dodatkowych wymaganiach znajomość tego narzędzia. W rezultacie poznałem…
Czytaj dalej »
OWASP ostrzega swoich członków przed możliwym wyciekiem danych – zagrożone są osoby, które należały do organizacji pomiędzy 2006 a 2014 rokiem i w tym czasie dostarczyły swoje CV. Organizacja OWASP miała świadomość, że doszło do wycieku ze starego serwera wiki od lutego, ale poinformowali o nim dopiero w piątek 29…
Czytaj dalej »
Warto zapisać w swoich zakładkach ten zasób, gdzie autor w dość rozbudowany sposób omawia projekt OWASP Kubernetes Top 10: Mamy tu przejście od tematów związanych z brakiem segmentacji na poziomie sieciowym, przez np. błędne zarządzanie sekretami aż po konkretne podatności – czy błędy konfiguracyjne – umożliwiające np. wyskakiwanie z kontenerów….
Czytaj dalej »
W kolejnym tekście w serii o OWASP TOP 10 zajmujemy się przykładami błędów związanych ze złą konfiguracją aplikacji
Czytaj dalej »
OWASP TOP 10 to popularny standard, na który składa się lista dziesięciu najistotniejszych ryzyk bezpieczeństwa w aplikacjach webowych (zdaniem fundacji OWASP). W najnowszej wersji tego standardu, wydanej w październiku 2021, pojawił się nowy punkt: A04: Insecure Design. Czym on dokładnie jest i jakie typy błędów się pod nim kryją? Na to postaramy się odpowiedzieć w tym krótkim tekście.
Czytaj dalej »
Po kilku latach rozwoju, niedawno dostaliśmy wersję 1.0 narzędzia Threat Dragon. O co chodzi w modelowaniu zagrożeń? W skrócie: często aplikacje webowe są tworzone bez żadnego pomysłu na bezpieczeństwo, czasem ten pomysł jest, ale wynika z punktowej inicjatywy danej osoby; przy dużych systemach jednak warto się kompleksowo zastanowić jakie są…
Czytaj dalej »
Niedawno udostępniono wersję 1.0 nowej dokumentacji od OWASP – API Security Top Ten. Mamy tutaj 10 najczęstszych/najgroźniejszych klas podatności w API (REST-owych). Najwięcej miejsca poświęcono problemom związanym z uwierzytelnianiem / autoryzacją. Mamy również całkiem osobne, ciekawe przypadki jak choćby Mass Assignment czy tematykę Rate Limiting. Nie można też zapomnieć o całej klasyce…
Czytaj dalej »
Najnowszy dokument dostępny jest tutaj. W największym skrócie jest to duża checklista podzielona na obszary (architektura, walidacja wejścia, uwierzytelnienie, obsługa błędów, …). W każdej z nich znajdziecie masę zaleceń służących zwiększeniu bezpieczeństwa aplikacji webowej. Co zmieniło się w porównaniu do poprzednich wersji? Jak sami autorzy dość górnolotnie piszą: New in…
Czytaj dalej »
Mamy OWASP Top Ten, mamy OWASP ASVS (również w wersji mobilnej) – ale to dokumenty albo dla zupełnie początkujących (Top Ten), albo dla zaawansowanych i to z nastawieniem na testy (ASVS). Projekt OWASP udostępnia jednak mniej znany OWASP Top Ten Proactive Controls Project – czyli zestaw zaleceń dla programistów, dotyczący…
Czytaj dalej »
Właśnie udostępniono wersję 1.0 projektu OWASP Mobile Application Security Verification Standard. Zasadnicza część dokumentu to checklista, podzielona na takie obszary jak: architektura, składowanie danych, komunikacja sieciowa czy kryptografia – mamy w sumie aż 8 takich obszarów. W każdym z obszarów znajdziecie z kolei serię pytań kontrolnych typu: czy aplikacja zapisuje wrażliwe dane do…
Czytaj dalej »
Podatności w bibliotekach to jedna ze zmór ludzi dbających o bezpieczeństwo wdrażanych systemów, ale i deweloperów, którzy często „przymuszani” są do zaktualizowania komponentów używanych w swoich aplikacjach. Pierwszy przykład z brzegu? Proszę, proszę i proszę. I tu z pomocą przychodzi nam projekt OWASP Depencency Check, o którym już dość rozlegle…
Czytaj dalej »
OWASP OpenSAMM (Open Software Assurance Maturity Model) to otwarty framework pozwalający na sprawne opracowanie i wdrożenie strategii dot. bezpieczeństwa oprogramowania rozwijany przez OWASP.
OpenSAMM do tematu bezpieczeństwa oprogramowania podchodzi systematycznie i całościowo, definiując 12 praktyk bezpieczeństwa pogrupowanych w 4 podstawowe funkcje biznesowe: Governance, Construction, Verification and Deployment.
Czytaj dalej »
Standardowy projekt OWASP-u „Testing guide” jak można się domyślić dotyczy testowania bezpieczeństwa aplikacji webowych. Od jakiegoś czasu OWASP zajmuje się też nieco pobocznymi obszarami jak: bezpieczeństwo aplikacji mobilnych czy IoT. Tym razem dostępną mamy w wersji beta, książkę „Mobile Security Testing Guide„, która pokazuje jak przetestować pod względem bezpieczeństwa aplikacje przygotowane…
Czytaj dalej »
OWASP właśnie udostępnił długo wyczekiwaną wersję release candidate dokumentu Top Ten – czyli w pewnym uproszeniu listę dziesięciu najistotniejszych klas podatności w aplikacjach webowych. Jakie szykują się zmiany? Mamy przede wszystkim zupełnie nowe, dwie kategorie: A7 – Insufficient Attack Protection A10 – Underprotected APIs W A7 czytamy między innymi: The…
Czytaj dalej »
W ramach dokumentacji OWASP mamy dostępnych kilka dokumentów które w tym roku mają uzyskać wersję 1.0. Jest to przede wszystkim OWASP Mobile ASVS (Mobile Appsec Verification Standard). Podobnie jak w przypadku klasycznego ASVS, mamy tu do czynienia z rozbudowanymi checklistami dotyczącymi rozmaitych sprawdzeń bezpieczeństwa: Jeszcze chyba ciekawszym dokumentem jest OWASP Mobile…
Czytaj dalej »
