Construire des applications sécurisées avec l’OWASP Top 10
Qu’est-ce que l’OWASP ?
L’OWASP (Open Web Application Security Project) est une organisation à but non lucratif qui œuvre pour améliorer la sécurité des logiciels dans le monde entier. Les fondateurs ont créé l’OWASP en 2001. Aujourd’hui, plus de 32 000 experts en sécurité se portent volontaires pour l’OWASP à travers le monde. L’OWASP publie de nombreuses ressources sur la sécurité web, mais le OWASP Top 10 est son projet le plus connu. Publié tous les quelques ans, le OWASP Top 10 sensibilise aux risques de sécurité les plus critiques pour les applications web.
Examinons l’OWASP et pourquoi il est important pour toutes les organisations créant et utilisant des applications web.
Pourquoi l’OWASP Top 10 est-il important ?
Le OWASP Top 10 classe les risques de sécurité des applications web les plus graves. L’OWASP base la liste sur la sagesse collective d’une communauté mondiale d’experts en sécurité.
Le Top 10 prend en compte plusieurs facteurs pour prioriser chaque risque :
- La facilité d’exploitation de la vulnérabilité
- L’étendue de la vulnérabilité
- L’exploitation de la vulnérabilité a des impacts techniques et commerciaux.
Le but est d’aider les professionnels de la sécurité et les développeurs à comprendre les risques les plus pressants. Cela permet aux organisations de prioriser leurs efforts de sécurité.
De nombreuses organisations traitent le OWASP Top 10 comme un standard de facto pour la sécurité des applications. Elles l’utilisent comme une liste de contrôle pour évaluer leurs pratiques de sécurité. Les auditeurs examinent également la conformité au OWASP Top 10 comme un indicateur de suivi des meilleures pratiques de sécurité par l’organisation.
Ajouter l’OWASP au processus de développement logiciel peut réduire les risques de sécurité. Il aide à détecter et à corriger les vulnérabilités tôt.
Le OWASP Top 10 pour 2021
L’OWASP met à jour le Top 10 tous les quelques années pour suivre l’évolution des menaces. Voici le OWASP Top 10 pour 2021, par ordre d’importance :
- Contrôle d’accès défaillant
- Échecs cryptographiques
- Injection
- Conception non sécurisée
- Mauvaise configuration de la sécurité
- Composants vulnérables et obsolètes
- Échec d’identification et d’authentification
- Échecs de l’intégrité des logiciels et des données
- Échecs de journalisation et de surveillance de la sécurité
- Falsification de requêtes côté serveur
Nous avons ajouté trois nouvelles catégories en 2021 : Conception non sécurisée, Échecs de l’intégrité des logiciels et des données, et Falsification de requêtes côté serveur. L’attaquant a utilisé XXE et XSS avec d’autres risques, les fusionnant en une seule catégorie.
Comprendre chaque risque OWASP est essentiel pour construire des applications plus sécurisées.
Exemple : Contrôle d’accès défaillant
Imaginez une application bancaire avec une faille dans ses contrôles d’accès. Le problème permet à n’importe qui de voir les détails du compte et l’historique des transactions de quelqu’un d’autre en modifiant l’adresse du site web.
C’est un exemple de contrôle d’accès défaillant – le risque n°1 dans le OWASP Top 10 pour 2021. Le contrôle d’accès défaillant signifie que les utilisateurs peuvent agir en dehors de leurs autorisations prévues. Les utilisateurs réguliers peuvent accéder aux fonctionnalités d’administration, ou les administrateurs peuvent accéder aux comptes d’autres utilisateurs.
Pour prévenir le contrôle d’accès défaillant :
- Refuser l’accès par défaut et n’autoriser que l’accès autorisé
- Imposer des contrôles d’accès côté serveur
- Désactiver la liste des répertoires du serveur web
- Journaliser les échecs de contrôle d’accès et alerter les administrateurs
- Limiter le taux des appels API pour atténuer les attaques automatisées
Le contrôle d’accès défaillant est répandu et peut avoir des impacts graves. L’OWASP a trouvé des faiblesses de contrôle d’accès dans 94 % des applications. De nombreux développeurs implémentent souvent mal le contrôle d’accès dans le code personnalisé. Utiliser un cadre bien éprouvé peut réduire le risque.
Maîtriser le OWASP Top 10
Nous avons vu l’importance du OWASP Top 10 et avons examiné en profondeur une zone de risque. Pour construire des applications vraiment sécurisées, il est essentiel de comprendre et de atténuer tous les risques de l’OWASP.
L’OWASP fournit des directives détaillées pour chaque zone de risque. Cela implique d’expliquer les risques, de donner des exemples, de montrer comment prévenir les vulnérabilités et de fournir des ressources supplémentaires pour plus d’informations. Les équipes de sécurité et les développeurs doivent étudier attentivement ces directives.
Inclure l’OWASP dans le SDLC est le meilleur moyen d’améliorer la sécurité des applications. Exploiter le OWASP Top 10 dans la modélisation des menaces, les revues de code, les tests de sécurité et la formation des développeurs. Détecter et corriger les risques OWASP aidera à protéger votre organisation et vos clients.
Le OWASP Top 10 fournit des conseils pour minimiser les risques les plus critiques dans les applications. Cependant, il est important de noter qu’aucune application ne peut être entièrement sécurisée. Faites-en une partie centrale de votre programme de sécurité des applications. Votre organisation pourra construire et déployer des applications avec plus de rapidité et de confiance.
