OWASP, pour mieux protéger les applis web contre les menaces identifiées. Aujourd’hui, les serveurs et les réseaux sont de mieux en mieux protégés, ce qui poussent les pirates informatiques à s’intéresser davantage aux applications web, qui présentent souvent de nombreuses vulnérabilités facilement exploitables.
Il y a encore une décennie, les cas de cyberattaques qui ciblaient les applications web étaient rares. Seulement, avec l’explosion des applications Web alimentant les entreprises, les réseaux sociaux et bien d’autres services web que nous utilisons au quotidien que ce soit pour le travail, la communication ou encore le divertissement, le problème s’est fortement exacerbé ces dernières années.
Cette situation a conduit à la naissance de nombreuses entités qui se consacrent à la sécurité des applications web. La plus célèbre de ces entités est Open Web Application Security Project (OWASP).
Au sein de l’Open Web Application Security Project (OWASP), des professionnels multidisciplinaires tentent de faire du monde un endroit où les logiciels non sécurisés sont l’anomalie, et pas la norme. Pour cela, chaque année, ils publient des documents qui sensibilisent et aident les développeurs à supprimer les vulnérabilités dans leurs publications.
Protéger les applis web contre les menaces identifiées dans l’OWASP. Dans cet article, nous allons surtout parler des risques de sécurité des applications Web que l’OWASP considère comme les plus critiques.
Sommaires
Pourquoi sécuriser ses applications web ?
À cause du fait qu’elles sont très susceptibles de présenter des failles, les applications web sont devenues la cible privilégiée des hackeurs. Vous avez donc de grandes chances d’être victime de piratages si vos applications web ne sont pas bien protégées.
La sécurisation des applications web est essentielle pour protéger vos données ainsi que celles de vos clients. Elle vous permet aussi d’éviter toute interruption des activités causée par les cyberattaques. Sachez qu’il suffit d’une petite faille de sécurité au niveau d’une seule parmi vos innombrables applications pour compromettre l’intégralité de votre système informatique et réseau.
Avec des failles de sécurité au niveau de vos applications web qui ne sont pas corrigées à temps, vous encourez les risques suivants : vol, prise en otage ou suppression de vos des données sensibles ; interruption ou paralysie des activités ; atteinte à l’image ; sabotage ; espionnage (Watering Hole)…
Qu’est-ce que l’OWASP ?
L’Open Web Application Security Project (OWASP) est une fondation communautaire qui s’engage à améliorer la sécurité des logiciels. Depuis 20 ans, l’OWASP est un référentiel de ressources sur la sécurité des applications Web, notamment de la documentation, des outils, des vidéos et des forums, qui sont tous librement disponibles et accessibles via leur site Web.
L’OWASP fonctionne comme une organisation à but non lucratif et n’est affiliée à aucune entreprise technologique, ce qui signifie qu’elle est dans une position unique pour fournir des informations impartiales et pratiques sur la sécurité des applications aux particuliers, entreprises, universités, agences gouvernementales et autres organisations du monde entier.
Sa direction est entièrement bénévole et prend des décisions concernant la direction technique, les priorités du projet, le calendrier et les versions. Toutefois, pour subventionner ses actions et projets, l’OWASP trouve le moyen de collecter des cotisations auprès d’entreprises et particuliers.
Les 10 principaux risques de sécurité des applications Web actuels selon l’OWASP
Le Top 10 de l’OWASP est un document de sensibilisation à la sécurité des applications Web qui décrit les risques de sécurité les plus critiques pour les applications. La plus récente version du Top 10 OWASP a été publiée le 24 septembre 2021 et généralement une mise à jour du document est faite tous les 3 ou 4 ans. Cette nouvelle version, elle apporte des changements de position, des fusions et de nouvelles catégories de risques de sécurité.
Voici selon l’OWASP les 10 principaux risques de sécurité des applications Web en 2021 :
-
Des contrôles d’accès cassés :
les contrôles d’accès cassés ont remplacé l’ancienne vulnérabilité de premier plan, Injection, devenant la vulnérabilité la plus critique dans les tests d’applications. Selon l’analyse de données faite par l’OWASP, les 34 CWE mappés au contrôle d’accès cassé avaient plus d’occurrences dans les applications que toute autre catégorie de vulnérabilités. Il s’agit d’une vulnérabilité identifiée fréquemment, donc son ascension vers le haut n’est pas une vraie surprise.
Des contrôles d’accès mis en œuvre de manière sécurisée sont importants pour garantir que les utilisateurs ne peuvent pas agir en dehors de leurs autorisations. Par exemple, il peut y avoir une page Web qui ne devrait être accessible qu’à un utilisateur de niveau administrateur et le lien vers cette page se trouve uniquement sur le tableau de bord de l’administrateur. Les contrôles d’accès peuvent être sécurisés en s’assurant qu’une application web utilise des codes d’autorisations.
-
Les défaillances cartographiques :
gagnant une position par rapport au dernier Top, celui de 2017, les défaillances cryptographiques, anciennement appelées « exposition de données sensibles », peuvent entraîner la compromission d’informations sensibles. Une cause courante de ce type de défaillance est l’échec du chiffrement des données sensibles à l’aide des méthodes recommandées, en particulier lorsque les informations traversent un réseau ou résident dans un environnement de stockage non sécurisé.
Le transit et le stockage sécurisés des données doivent être mis en œuvre tout au long du cycle de vie des données afin de réduire les faiblesses pouvant entraîner une exposition des données sensibles. Certaines des mesures clés à respecter sont l’utilisation d’algorithmes, de protocoles et de clés standard à jour et solides, ainsi que la garantie que les données en transit appliquent un protocole tel que TLS pour chiffrer le trafic circulant entre les appareils/machines.
-
Les failles d’jnjection :
Ce type de vulnérabilités passe de la première position en 2017 à la troisième en 2021. Les failles d’injection se produisent lorsque des données malveillantes sont envoyées à un interpréteur, tel qu’une base de données ou un terminal, et exécutent des actions involontaires en manipulant la logique d’exécution. Cela peut entraîner une violation de données sensibles ou une compromission de l’environnement applicatif.
Les attaques par injection peuvent être évitées en validant (en rejetant les données qui semblent suspectes) et/ou en nettoyant (en nettoyant les caractères d’entrée inutiles et les parties des données d’apparence suspecte) les données soumises par les utilisateurs. Pour l’injection SQL en particulier, les développeurs peuvent s’assurer que toutes les entrées pour les requêtes SQL sont paramétrées afin que l’entrée injectée ne puisse pas être utilisée dans le cadre de la syntaxe de la requête.
-
La Conception non sécurisée :
Elle n’est pas répertoriée dans le Top de 2017, car il s’agit d’une nouvelle catégorie, avec un accent sur les défauts de conception. Les applications sont souvent construites à partir de zéro sans souci de sécurité et cela peut entraîner des conceptions non sécurisées.
Et des vulnérabilités critiques introduites dans les applications, ce qui peut être coûteux ou compliqué à corriger une fois dans un environnement de production. Pour éviter cela, il est important de concevoir les applications toujours avec la sécurité à l’esprit.
-
Mauvaise configuration de sécurité :
Par rapport à la version de 2017, cette vulnérabilité gagne une place. La mauvaise configuration est un risque très courant souvent causé par des fonctionnalités administratives exposées, des comptes par défaut ou un stockage en nuage non sécurisé. Il est généralement considéré comme une catégorie « fourre-tout » pour les erreurs de mise en œuvre commises dans un environnement d’application hautement configurable ou complexe.
Certaines mesures pouvant être prises pour se prémunir contre l’exploitation d’erreurs de configuration consistent à s’assurer que les fonctionnalités et composants inutilisés soient supprimés ou désactivés, que les messages d’erreur soient généralisés et que le serveur envoie les en-têtes de sécurité pertinents et qu’ils soient définis avec des valeurs sécurisées.
-
Composants vulnérables et obsolètes :
L’OWASP a décrit cette catégorie comme « un problème connu que nous avons du mal à tester et à évaluer les risques ». Certains composants présentent des vulnérabilités connues que des acteurs malveillants peuvent exploiter pour accéder aux données et aux systèmes. Les composants logiciels, tels que les bibliothèques d’applications sous-jacentes et les frameworks, contiennent souvent des faiblesses qui peuvent avoir un impact sur la sécurité de l’application dans son ensemble.
Assurez-vous que tous les composants sont pris en charge et entièrement corrigés afin qu’ils reçoivent les mises à jour de sécurité requises. Supprimez également toutes les fonctionnalités, composants, dépendances, fichiers et documentations inutiles dans la mesure du possible.
-
Identification et authentification de mauvaise qualité :
passant de la 2e position à la 7e en 2021, l’identification et authentification de mauvaise qualité a toujours figuré dans le Top 10 OWASP. Les vulnérabilités dans les mécanismes d’authentification d’une application peuvent permettre aux attaquants d’obtenir un accès non autorisé aux comptes d’utilisateurs et potentiellement même aux comptes d’administrateurs.
Il peut être difficile de perfectionner la sécurité de votre mécanisme d’authentification, mais certaines mesures efficaces sur lesquelles vous concentrer incluent la mise en œuvre d’une politique de mot de passe solide, l’application de 2FA et l’optimisation des contrôles de limitation de débit pour empêcher les attaques automatisées.
-
Manque d’intégrité des données et du logiciel :
les défaillances d’intégrité des logiciels et des données sont une nouvelle catégorie pour 2021. Elles se produisent lorsque l’infrastructure ne parvient pas à se protéger contre les violations de l’intégrité des données. Cela peut résulter de l’utilisation de plugins ou de bibliothèques provenant de sources non fiables ou de réseaux de diffusion de contenu (CDN).
Ce type de défaillance peut aussi se produire lors qu’on a pas nettoyer ou gérer correctement les données, telles que les charges utiles sérialisées, ou de mises à jour automatiques appliquant des correctifs qui n’ont pas fait l’objet d’une vérification d’intégrité suffisante.
-
Carence des systèmes de contrôle et de journalisation :
la journalisation et la surveillance sont des processus importants pour permettre une détection et une réponse rapides aux activités malveillantes, telles que les attaques tentées ou réussies, et fournissent des informations essentielles pour effectuer une enquête suite à un incident. Des problèmes dans cette catégorie peuvent impacter directement la visibilité, les alertes d’incident et l’investigation.
Comme solutions suggérées, les applications doivent consigner tous les échecs de connexion, de contrôle d’accès et de validation des entrées côté serveur avec un contexte suffisant pour identifier les comptes suspects ou malveillants. Les journaux doivent aussi être générés de manière à pouvoir être facilement surveillés et analysés. Un plan de réponse à l’incident et de récupération doit être adopté pour compléter ces mesures afin de garantir que vous disposez d’un processus clair et détaillé à suivre pendant et après l’incident.
-
Falsification de requête côté serveur :
de nombreux professionnels de l’industrie auraient en 2021 signalé à l’OWASP une importante augmentation des cas de falsification des demandes côté serveur. Pour information, les attaques Server-Side Request Forgery (SSRF) se produisent lorsque des acteurs malveillants envoient des charges utiles, telles que des URL modifiées, qui sont traitées par le serveur pour lire ou modifier des données, extraire des informations ou se connecter à des services internes qui ne seraient normalement pas accessibles.
Conclusions OWASP – Cyber Sécurité.
Les cyberattaques sont aujourd’hui de plus en plus nombreuses, toutes les statistiques le prouvent; elles peuvent porter atteinte aux données et systèmes d’une entreprise, la mettant à plat, c’est pourquoi il est important de connaître les grandes lignes de la cybersécurité pour mieux appréhender les risques et ainsi mieux se protéger, contre ce fléau.
La cybersécurité a pour rôle principal de protéger l’ensemble de vos systèmes et outils, ainsi que vos données professionnelles et personnelles. En France, des organismes existent pour vous aider à vous protéger, comme la CNIL ou l’ANSSI, n’hésitez pas à les contacter, ces deux entités sont de bons conseils pour les utilisateurs et les administrateurs de la sécurité.
Auteur Antonio Rodriguez, Directeur Clever Technologies
Pour en savoir plus :
