OWASP ou comment faire la chasse aux failles de sécurité des applications web ?

Temps de lecture : 7 min

Depuis quelques années, le nombre de services basés sur des technologies web ne cessent d’augmenter. Ils nous accompagnent au quotidien et leur sécurité est donc devenue un enjeu crucial pour les entreprises. Garantes de nos données, ces dernières sont censées assurer la sécurité de leurs outils web. Cependant, on entend encore régulièrement des histoires de vol ou perte de données dues à des failles de sécurité.
Bien que les pirates informatiques soient très doués, bon nombre de ces attaques auraient pu être évitées. Comment ? En mettant en place une stratégie de sécurité web globale et en utilisant des outils performants comme ceux proposés par l’OWASP.

Qu’est-ce que OWASP ?

L’OWASP pour Open Web Application Security Project est une fondation à but non lucratif fondée en 2004. Son objectif est de prévenir les attaques sur le web en produisant et partageant librement différentes ressources sur le site owasp.org.
Toutes les ressources partagées par l’OWASP sont open sources et sont éditées par les dizaines de milliers de membres actifs que compte la fondation. Le site est découpé en « projets ». Chaque projet répond à une problématique particulière liée à la sécurité web et recense différentes ressources utiles. Parmi ces ressources se trouvent essentiellement des formations, des documents, des méthodes, des standards ou encore des logiciels dédiés à la sécurité web.
Point important, tous les projets de l’OWASP répondent à une norme éthique afin d’assurer leur neutralité, notamment en matière de pression commerciale.
La quantité et la qualité des ressources présentes sur le site owasp.org font de l’OWASP une référence en matière de sécurité web dans le monde entier.

Les projets de l’OWASP

Comme mentionné plus haut, le site de l’OWASP owasp.org recense un nombre important de projets disponibles en accès libre. Le champ d’application de ces projets est très varié, bien que toujours en lien avec la sécurité web. On y retrouve des listes et des guides comme ceux que nous allons vous présenter mais aussi des logiciels permettant de rechercher des vulnérabilités sur une application web : OWASP SQLiX, OWASP O-Saft, OWASP WebScarab, OWASP JHijack, etc.
Nous avons sélectionné 4 projets populaires qui sont pour nous le b.a.-ba de la sécurité web :

OWASP Top Ten

Lien : https://owasp.org/www-project-top-ten/
Le Top 10 OWASP est le projet le plus connu de l’OWASP. Il s’agit en fait d’une liste des 10 risques de sécurité les plus critiques pour les applications Web. Ce projet a pour but de sensibiliser les développeurs à la sécurité des applications Web. OWASP Top 10 est d’ailleurs reconnu mondialement par les développeurs comme étant une base de référence pour sécuriser le code des applications web.
En effet, pour se défendre, il est primordial de connaitre les risques encourus. L’OWASP Top 10 présente ces risques et offre ainsi aux développeurs et entreprises les clés pour y faire face. Cependant, comme son nom l’indique, le Top 10 ne présente que les 10 plus gros risques de sécurité. Il doit donc servir aux entreprises à initier la mise en sécurité de leurs outils web. Les développeurs doivent ensuite continuer à assurer la mise en sécurité des applications face à tous les autres risques qui ne sont pas listés dans le Top 10.

OWASP Web Security Testing Guide

Lien : https://owasp.org/www-project-web-security-testing-guide/
Le projet WSTG (Web Security Testing Guide) est un guide complet permettant aux développeurs de tester la sécurité des applications Web. Il s’agit d’une sorte de super-checklist pour les développeurs souhaitant effectuer des tests de sécurité web. Ce guide est d’ailleurs une référence en matière de tests de sécurité car il est très complet et fourni un ensemble de bonnes pratiques utilisées par des organisations du monde entier. Pour finir, ce guide est constamment mis à jour par des professionnels de la cybersécurité et des bénévoles de l’OWASP. Le projet WSTG est ainsi très fiable et répond parfaitement aux derniers risques référencés par l’OWASP.

OWASP Mobile Top 10

Lien : https://owasp.org/www-project-mobile-top-10/
Comme vous l’aurez certainement compris en lisant le début de cet article, l’OWASP ne se focalise pas uniquement sur la sécurité des applications web. La fondation travaille plus largement à la sécurité des technologies web en générale. Et suite au succès de l’OWASP Top Ten, l’organisation a mis en place une liste dédiée spécifiquement à la sécurisation des applications mobiles : OWASP Mobile Top 10.
Comme son homologue « OWASP Top Ten » dédié aux applications web, le Top 10 Mobile présente les 10 risques de sécurité les plus critiques pour les applications mobile. Son but est également de sensibiliser les développeurs et les organisations à la sécurité de nos applications sur mobile.
Ce Top 10 Mobile est de plus en plus important à prendre en compte car la part de l’utilisation des smartphones pour utiliser des services web ne cessent d’augmenter.

OWASP Mobile Security Testing Guide

Lien : https://owasp.org/www-project-mobile-security-testing-guide/
Comme pour les applications web, l’OWASP propose une norme de sécurité pour les applications mobiles ainsi qu’un guide de tests complet. Ce guide couvre les processus, les techniques et les outils à utiliser lors des tests de sécurité des applications mobiles. Ce guide fournit également un ensemble exhaustif de cas de tests qui permet aux testeurs de fournir des résultats cohérents et complets. Il s’agit d’un référentiel très apprécié des développeurs pour la sécurité des applications web.

De quels risques réels parle l’OWASP ?

Les principaux risques auxquels l’OWASP fait référence sont principalement les attaques web qui tirent parti des failles de sécurité de nos outils web. On parle également de vulnérabilités. Mais lorsque l’on parle de failles de sécurité que faut-il comprendre ? Quelles sont les principales menaces pour la sécurité de vos applications web ?
Une faille de sécurité et une défaillance dans le code informatique. Elle permet généralement à des pirates informatiques de s’engouffrer dans votre système pour y insérer du code frauduleux et accéder à vos données. La sécurité de vos outils web n’est donc pas à prendre à la légère. En effet, qui dit potentielles failles de sécurité dit possibles vols de données, fraudes ou atteintes à la réputation de votre entreprise. Il est donc plus prudent de se prémunir contre ces attaques en veillant à garder un système entièrement sécurisé.
Au-delà des risques d’intrusion et récupération de données, il existe également d’autres dangers comme par exemple

• Le déni de services (DOS) : le service / site web n’est plus accessible par les utilisateurs car trop sollicité.
• Le détournement de ressources : le système est piraté, on parle alors parfois de « PC zombie ». Le but de ces attaques est d’exécuter des taches au profit de tiers malveillants, comme par exemple l’envoi de spam ou le « minage » de crypto monnaie.

La sécurité : avant, pendant et après le développement

La sécurité web des entreprises est un très vaste sujet. Toutefois avec des services comme ceux proposés par l’OWASP et une bonne stratégie interne, il est possible de sécuriser ses outils web.

Les projets de l’OWASP proposent des mesures préventives ainsi que des contre-mesures efficaces qu’il est bon d’utiliser. Seulement, pour que ces mesures soient efficaces, il est important de les intégrer dès le commencement du projet web. Plus la sécurité est pensée en amont d’un projet et plus elle est facile à intégrer.

Pendant le développement, la sécurité doit être l’une des tâches prioritaires des développeurs. Il faut également veiller à ce que l’équipe technique en charge du projet soit au fait des mesures de sécurité à appliquer. Ces mesures doivent prendre en compte un large panel de risque de sécurité et il peut être nécessaire d’envisager des audits de sécurité réguliers dans le cas d’un projet sensible. De nombreux projets de l’OWASP peuvent aider les équipes techniques lors de cette étape.

Après le développement, une surveillance régulière est nécessaire. Un audit de sécurité peut également être planifié régulièrement afin de limiter tout risque d’attaque.

Sachez qu’il n’est jamais trop tard pour sécuriser un outil web. Dans le cas d’attaque web, il vaut mieux prévenir que guérir car les préjudices peuvent être très sévères. N’hésitez pas à vous rapprocher d’une équipe de spécialiste en sécurité web comme celle de Némésis studio pour étudier votre projet de sécurisation.

Si vous avez pour projet le développement d’une application web, discutez à minima avec votre prestataire des notions importantes de sécurisation : authentification, contrôle d’accès, intégrité des données, confidentialité, non-répudiation et protection contre l’analyse du trafic.

Comme d’habitude, nous n’avons pas la prétention de vous avoir tout expliqué, mais grâce à ces informations vous devriez y voir plus clair sur la sécurité des applications. Notre but est toujours de mieux vous accompagner et de vous conseiller. N’hésitez pas à faire appel à notre équipe. Faîtes confiance aux experts digitaux de Némésis studio !