Formation OWASP Top 10 2025

A01:2025 - Contrôle d'accès cassé
A02:2025 - Mauvaise configuration de la sécurité
A03:2025 - Échecs de la chaîne d'approvisionnement logicielle
A04:2025 - Échecs cryptographiques
A05:2025 - Injection
A06:2025 - Conception non sûre
A07:2025 - Échecs d'authentification
A08:2025 - Échecs d'intégrité du logiciel ou des données
A09:2025 - Échecs de journalisation et d'alerte de sécurité
A10:2025 - Gestion inappropriée des conditions exceptionnelles

A01:2025 Contrôle d'accès cassé - Le contrôle d'accès applique une politique afin que les utilisateurs ne puissent pas agir en dehors de leurs autorisations prévues. Les échecs entraînent typiquement une divulgation non autorisée d'informations, une modification ou une destruction de données, ou l'exécution d'une fonction métier au-delà des limites de l'utilisateur.

A02:2025 Mauvaise configuration de la sécurité - Une mauvaise configuration de la sécurité se produit lorsqu'un système, une application ou un service cloud est configuré incorrectement d'un point de vue sécurité, créant ainsi des vulnérabilités.

A03:2025 Échecs de la chaîne d'approvisionnement logicielle - Les échecs de la chaîne d'approvisionnement logicielle sont des ruptures ou autres compromissions dans le processus de création, de distribution ou de mise à jour des logiciels. Ils sont souvent causés par des vulnérabilités ou des modifications malveillantes dans le code, les outils ou d'autres dépendances tierces sur lesquels le système s'appuie.

A04:2025 Échecs cryptographiques - En général, toutes les données en transit doivent être chiffrées à la couche de transport (couche OSI 4). Les obstacles précédents, tels que les performances CPU et la gestion des clés privées/certificats, sont désormais gérés par des processeurs disposant d'instructions conçues pour accélérer le chiffrement (par ex : support AES) et par la simplification de la gestion des clés privées et des certificats grâce à des services comme LetsEncrypt.org, avec des fournisseurs cloud majeurs offrant des services de gestion de certificats encore plus étroitement intégrés pour leurs plateformes spécifiques. Au-delà de la sécurisation de la couche de transport, il est important de déterminer quelles données nécessitent un chiffrement au repos, ainsi que quelles données nécessitent un chiffrement supplémentaire en transit (à la couche application, couche OSI 7). Par exemple, les mots de passe, les numéros de carte de crédit, les dossiers médicaux, les informations personnelles et les secrets commerciaux nécessitent une protection supplémentaire, en particulier si ces données relèvent de lois sur la vie privée, par exemple le Règlement général sur la protection des données (RGPD) de l'UE, ou de réglementations telles que la norme PCI Data Security Standard (PCI DSS).

A05:2025 Injection - Une vulnérabilité d'injection est un défaut du système qui permet à un attaquant d'insérer du code ou des commandes malveillants (tels que du code SQL ou shell) dans les champs de saisie d'un programme, trompant le système pour qu'il exécute le code ou les commandes comme s'ils faisaient partie du système. Cela peut entraîner de très graves conséquences.

A06:2025 Conception non sûre - La conception non sûre est une catégorie large représentant diverses faiblesses, exprimées par « une conception de contrôles manquante ou inefficace ». La conception non sûre n'est pas la source de toutes les autres catégories de risques du Top 10. Il convient de noter qu'il existe une différence entre une conception non sûre et une implémentation non sûre. Nous distinguons les défauts de conception des défauts d'implémentation pour une raison : ils ont des causes racines différentes, se produisent à des moments différents du processus de développement et ont des correctifs différents. Une conception sûre peut tout de même comporter des défauts d'implémentation menant à des vulnérabilités susceptibles d'être exploitées. Une conception non sûre ne peut pas être corrigée par une implémentation parfaite, car les contrôles de sécurité nécessaires n'ont jamais été créés pour se défendre contre des attaques spécifiques. L'un des facteurs qui contribuent à la conception non sûre est le manque de profilage des risques métier inhérent au logiciel ou au système en cours de développement, entraînant ainsi un échec à déterminer le niveau de conception de sécurité requis.

A07:2025 Échecs d'authentification - Cette vulnérabilité est présente lorsqu'un attaquant parvient à tromper un système pour qu'il reconnaisse un utilisateur invalide ou incorrect comme légitime.

A08:2025 Échecs d'intégrité du logiciel ou des données - Les échecs d'intégrité du logiciel et des données concernent le code et l'infrastructure qui ne protègent pas contre le traitement de code ou de données non valides ou non fiables comme s'ils étaient fiables et valides. Un exemple de cela est lorsqu'une application s'appuie sur des plugins, des bibliothèques ou des modules provenant de sources, de dépôts et de réseaux de diffusion de contenu (CDN) non fiables. Un pipeline CI/CD non sûr ne consommant et ne fournissant pas de vérifications d'intégrité du logiciel peut introduire un risque d'accès non autorisé, de code non sûr ou malveillant, ou de compromission du système. Un autre exemple est un CI/CD qui récupère du code ou des artefacts depuis des endroits non fiables et/ou ne les vérifie pas avant utilisation (par exemple en vérifiant la signature ou un mécanisme similaire). 

A09:2025 Échecs de journalisation et d'alerte de sécurité - Sans journalisation et surveillance, les attaques et les brèches ne peuvent pas être détectées, et sans alerte, il est très difficile de répondre rapidement et efficacement lors d'un incident de sécurité. L'insuffisance de journalisation, de surveillance continue, de détection et d'alerte pour initier des réponses actives se produit à tout moment

A10:2025 Gestion inappropriée des conditions exceptionnelles - La mauvaise gestion des conditions exceptionnelles dans les logiciels se produit lorsque les programmes échouent à prévenir, détecter et répondre à des situations inhabituelles et imprévisibles, ce qui entraîne des plantages, des comportements inattendus et parfois des vulnérabilités. Cela peut impliquer l'un ou plusieurs des trois échecs suivants : l'application ne prévient pas qu'une situation inhabituelle se produise, elle ne l'identifie pas alors qu'elle se produit, et/ou elle y répond mal ou pas du tout par la suite.

Nous discuterons et présenterons les aspects pratiques de :

Contrôle d'accès cassé
- Exemples pratiques de contrôles d'accès cassés
- Contrôles d'accès sûrs et bonnes pratiques

Mauvaise configuration de la sécurité
- Exemples réels de mauvaises configurations
- Étapes pour prévenir la mauvaise configuration, y compris les outils de gestion de configuration et d'automatisation

Échecs cryptographiques
- Analyse détaillée des échecs cryptographiques tels que les algorithmes de chiffrement faibles ou la mauvaise gestion des clés
- Importance des mécanismes cryptographiques robustes, des protocoles sûrs (SSL/TLS) et exemples de cryptographie moderne dans la sécurité web

Attaques par injection
- Décryptage détaillé de l'injection SQL, NoSQL, OS et LDAP
- Techniques d'atténuation en utilisant des instructions préparées, des requêtes paramétrées et l'échappement des entrées

Conception non sûre
- Nous explorerons les défauts de conception pouvant conduire à des vulnérabilités, comme la validation des entrées inappropriée
- Nous étudierons les stratégies pour une architecture sûre et des principes de conception sûre

Échecs d'authentification
- Problèmes d'authentification courants
- Stratégies d'authentification sûres, comme l'authentification multifactorielle et la gestion appropriée des sessions

Échecs d'intégrité du logiciel et des données
- Accent sur des problèmes tels que les mises à jour logicielles non fiables et la falsification des données
- Mécanismes de mise à jour sûrs et vérifications d'intégrité des données

Échecs de journalisation et de surveillance de la sécurité
- Importance de la journalisation des informations de sécurité pertinentes et de la surveillance des activités suspectes
- Outils et pratiques pour une journalisation appropriée et une surveillance en temps réel pour détecter tôt les brèches