Co to jest OWASP? Wyjaśnienie i omówienie OWASP TOP 10

Bezpieczeństwo to sprawa podstawowa, jeżeli chodzi o komfort korzystania z sieci. Użytkownicy aplikacji muszą mieć pewność, że ich dane nie zostaną przekazane w niepowołane ręce, hasła i loginy pozostaną zabezpieczone, a zgromadzone na koncie w banku pieniądze – będą nieruszone. O spełnianie wszystkich tych elementów dba OWASP. Co oznacza ten tajemniczy skrót? Postaramy się to dokładnie wyjaśnić.

Zdj 1. Co warto wiedzieć o organizacji OWASP

Źródło: owasp.org

Zanim jednak przejdziemy do kompleksowej analizy hasła OWASP i wskażemy, jakie są najbezpieczniejsze rozwiązania ochronne stosowane współcześnie, spójrzmy na to, jakie ryzyko niesie ze sobą stosowanie niezabezpieczonych aplikacji webowych. Mogą one skutkować m.in. utratą tożsamości w sieci, przestępstwami realizowanymi na Twoje konto, stratą ogromnych pieniędzy czy relacji rodzinnych.

OWASP – co to jest?

Organizacja OWASP dba, aby wyeliminować jak najszerzej ryzyko pojawiania się powyższych błędów. Co to jest OWASP? To organizacja (w formie społeczności internetowej) o nazwie Open Web Application Security Project. Członkowie OWASP regularnie tworzą analizy i rozwiązania, które mają poprawić ogólne bezpieczeństwo użytkowników w sieci, szczególnie tych, którzy korzystają z aplikacji webowych.

OWASP charakteryzuje fakt działalności oddolnej, nienastawionej na zysk. Oznacza to, że z opracowanych rozwiązań i analiz mogą korzystać wszyscy użytkownicy sieci, także właściciele firm. Czym zajmują się członkowie OWASP?

• Artykuły i metodologie analizujące rozwiązania funkcjonujące w sieci;
• narzędzia i technologie do ochrony danych użytkowników aplikacji web;
• dokumentacja pozwalająca na poprawę ochrony informacji w sieci.

OWASP udostępnia m.in. wiele ciekawych metod, z których można korzystać prowadząc sklep internetowy. Społeczność pozwala na rozwój również testerom aplikacji. Ci mogą skorzystać z opcji przetestowania danego programu pod kątem metod sugerowanych przez OWASP.

OWASP TOP 10 – co to znaczy?

Organizacja OWASP udostępnia wiele różnych narzędzi, analiz, a także rankingów aplikacji, które są skutecznie zabezpieczone przed kradzieżą danych czy włamaniem. Jednym z ważniejszych elementów, które daje użytkownikom Open Web Application Security Project jest TOP 10 OWASP. Co to takiego?

OWASP TOP 10 to lista dziesięciu, szczegółowo opisanych błędów webowych, które mogą znaleźć się w aplikacjach internetowych. Zawiera analizę takiego błędu, informację o jego skutkach oraz poradę, w jaki sposób obejść się z danym problemem. Na liście znajdują się zarówno błędy proste, jak i tzw. krytyczne, które mogą w znacznym stopniu wpłynąć na bezpieczeństwo użytkowników i samej aplikacji.

Wdrożone przez OWASP rozwiązania sprawiają, że organizacja wykrywa błędy już na poziomie tworzenia programu. Z narzędzi mogą korzystać nawet początkujący twórcy aplikacji.

Jak często publikowane są błędy? Lista aktualizowana jest co trzy lub cztery lata, w zależności od zapotrzebowania i zmian towarzyszących webdeveloperom w technologii tworzenia aplikacji. 

OWASP TOP 10 – aktualna lista

Aktualna lista pochodzi z 2021 roku, ale twórcy już poinformowali, że niedługo na stronie powinno pojawić się zestawienie z 2025 roku. Co widnieje na liście na ten moment?

• A01:2021-Broken Access Control (nieautoryzowany dostęp do wrażliwych funkcji).
• A02:2021-Cryptographic Failures (brak ochrony danych osobywych, numerów kart itd. poprzez brak podwójnego uwierzytelniania).
• A03:2021-Injection (luki zabezpieczeń w bazach MySQL).
• A04:2021-Insecure Design (ryzyko wad produktowych).
• A05:2021-Security Misconfiguration (niewłaściwa konfiguracja zabezpieczeń, za dużo funkcji, liberalne kontrole dostępu).
• A06:2021-Vulnerable and Outdated Components (błędne dane w bibliotekach i frameworkach).
• A07:2021-Identification and Authentication Failure (błąd uwierzytelnienia umożliwiający złamanie haseł).
• A08:2021-Software and Data Integrity Failures (brak szyfrowania haseł).
• A09:2021-Security Logging and Monitoring Failures (naruszenie integralności systemu).
• A10:2021-Server-Side Request Forgery (ryzyko manipulowania serwerami).

Zdj 2. Tak zmieniał się ranking OWASP w ciągu czterech lat

Źródło: owasp.org

Analiza i wdrożenie rozwiązań zapobiegających tym błędom, znacznie zwiększa szanse na wykonanie skutecznej i bezpiecznej dla użytkowników aplikacji.