Desktopbeveiliging in Java-training

Day 1

Basisprincipes van beveiliging

Wat is veiligheid?

Bedreiging en risico

Soorten bedreigingen voor computersystemen

Gevolgen van onveilige software

Beperkingen en de markt

Bugs, kwetsbaarheden en exploits

Categorisering van bugs

• Zeven verderfelijke koninkrijken
• Algemene opsomming van zwakke punten (CWE)
• CWE/SANS Top 25 van gevaarlijkste softwarefouten
• SEI Cert richtlijnen voor veilig coderen
• Kwetsbaarheden in de omgeving en de afhankelijkheden

Invoervalidatie

Principes voor ingangsvalidatie

• Zwarte lijsten en witte lijsten
• Validatie met regex
• Wat valideren - het aanvalsoppervlak
• Wanneer valideren - validatie vs transformaties
• Waar valideren - verdediging in de diepte

Injectie

• Injectieprincipes
• Injectieaanvallen
• CRLF-injectie
• Vervalsen van houtblokken
• Lab - Houthakken
• Logboekvervalsing - beste praktijken
• Code injectie
• Opdrachtinjectie
• Lab - Opdrachtinjectie
• Best practices voor opdrachtinjectie
• Runtime.exec() gebruiken
• ProcessBuilder gebruiken
• Casestudie - Shellshock
• Lab - Shellshock
• Scriptinjectie
• Injectie in expressietaal
• Beste praktijken voor injectie
• Invoervalidatie
• Uitvoer zuiveren
• De uitvoer coderen en escapen
• Uitdagingen bij het coderen

Behandeling van gehele getallen

• Getekende getallen weergeven
• Integer visualiseren
• Problemen met gehele getallen
• Overloop integer
• Lab - Integer overflow
• Getekende / niet-getekende verwarring
• Getekende / niet-getekende verwarring in Java
• Gehele truncatie
• Beste praktijken
• Upcasting
• Testen op randvoorwaarden
• Testen na de voorwaarde
• Grote integer bibliotheken gebruiken
• Integerverwerking in Java
• Lab - Behandeling van gehele getallen
• Andere numerieke problemen
• Delen door nul
• Werken met drijvende-kommagetallen

Gegevensstructuren

• Gegevensstructuur sentinels
• Containers
• Fout in container
• Associatieve containers
• Iteratoren

Bestanden en streams

• Padverkenning
• Pad-gerelateerde voorbeelden
• Best practices voor padomleiding
• Lab - Path traversal
• Virtuele bronnen

Onveilige reflectie

• Reflectie zonder validatie
• Lab - Onveilige reflectie

Onveilige native code

• Native code afhankelijkheid
• Lab - Onveilige JNI

Enkele andere problemen met invoervalidatie

Kwetsbare onderdelen gebruiken

De omgeving beoordelen

Verharding

Functionaliteit importeren uit niet-vertrouwde bronnen

Beheer van kwetsbaarheden

• Patchbeheer
• Kwetsbaarheidsdatabases en scantools
• Kwetsbaarheidsbeoordeling - CVSS
• Lab - Kwetsbaarheden vinden van gebruikte componenten
• Het bouwproces en CI/CD
• Afhankelijkheid controleren in Maven
• Lab - Kwetsbare onderdelen detecteren tijdens het bouwen

Day 2

Beveiligingsfuncties

Authenticatie

• Basisprincipes van authenticatie
• Zwakke punten in authenticatie
• Casestudie - PayPal tweefactorauthenticatie omzeilen
• Beste praktijken voor gebruikersinterfaces
• Wachtwoordbeheer
• Inkomend wachtwoordbeheer
• Accountwachtwoorden opslaan
• Plaintext wachtwoorden bij Facebook
• Lab - Waarom is het hashen van wachtwoorden alleen niet genoeg?
• Woordenboekaanvallen en brute forcing
• Zouten
• Adaptieve hashfuncties voor wachtwoordopslag
• Wachtwoord onderweg
• Wachtwoordbeleid
• Zwakke en sterke wachtwoorden
• Wachtzinnen gebruiken
• Lab - Een wachtwoordbeleid toepassen
• Het datalek bij Ashley Madison
• De woordenboekaanval
• De ultieme aanval
• Gebruik van de resultaten en de geleerde lessen
• Beheer van uitgaande wachtwoorden
• Harde wachtwoorden
• Lab - Hard gecodeerd wachtwoord
• Wachtwoord in configuratiebestand
• Gevoelige informatie in het geheugen beschermen
• Uitdagingen bij het beschermen van het geheugen
• Gevoelige gegevens opslaan in het geheugen
• Lab - Klassen voor geheimhouding gebruiken

Autorisatie

• Basisprincipes toegangscontrole
• Ontbrekende of onjuiste autorisatie
• Toegangscontrole in databases
• Lab - Databasetoegangsbeheer
• Privileges en machtigingen
• Manipulatie van toestemming
• Onjuist gebruik van geprivilegieerde API's
• Best practices voor toestemming
• Principe van de minste privileges
• Principe van scheiding van privileges
• Toestemming verlenen
• Voorrecht laten vallen
• Afhandeling van onvoldoende privileges

Beveiliging Java-platform

• De programmeertaal Java en runtime-omgeving
• Type veiligheid en beveiliging
• Beveiligingsfuncties van de JRE
• De ClassLoader en de BytecodeVerifier
• Toegangsbeheer op applicatieniveau in Java
• Machtigingen en de beveiligingsmanager
• Best practices voor privileges
• Lab - Werken met rechten in Java
• Rolgebaseerde toegangscontrole
• Java Authenticatie- en Autorisatiediensten (JAAS)
• Java-code en -toepassingen beschermen
• Code ondertekenen

Blootstelling aan informatie

• Blootstelling door geëxtraheerde gegevens en aggregatie
• Lekken van systeeminformatie
• Informatie over lekkend systeem
• Vertrouwen op toegankelijkheidsmodificatoren
• Lab - Ongepaste bescherming door toegankelijkheidsmodificator
• Best practices voor blootstelling aan informatie

UI-beveiliging

• UI-beveiligingsprincipes
• Gevoelige informatie in de gebruikersinterface
• Verkeerde interpretatie van UI-functies of acties
• Onvoldoende UI-feedback
• Vertrouwen op verborgen of uitgeschakeld UI-element
• Lab - Verborgen of uitgeschakeld UI-element
• Onvoldoende anti-automatisering

Dag 3

Veelvoorkomende zwakke plekken in de beveiliging van software

Tijd en staat

• Best practices voor draadbeheer
• Best practices voor threadbeheer in Java
• Draadpoelen
• Race-omstandigheden
• Race-conditie in objectdataleden
• Singleton lidvelden
• Lab - Singleton lidvelden
• Bestandsraceconditie
• Tijd van controle tot tijd van gebruik (TOCTTOU)
• Lab - TOCTTOU
• Onveilig tijdelijk bestand
• Database raceomstandigheden
• Lab - Database racevoorwaarden
• Het vermijden van race-condities in Java
• Wederzijdse uitsluiting en vergrendeling
• Deadlocks
• Laboratorium - Vergrendeling
• Synchronisatie en thread-veiligheid
• Synchronisatie en threadveiligheid in Java

Fouten

• Principes voor afhandeling van fouten en uitzonderingen
• Foutafhandeling
• Een misleidende statuscode retourneren
• Bereikbare bewering
• Blootstelling aan informatie door foutenrapportage
• Uitzonderingsverwerking
• In het vangblok. En wat nu?
• Leeg vangblok
• Beste praktijken voor vangblokken
• Te brede worpen
• NULL pointer uitzonderingen vangen
• Onjuiste voltooiing van het laatste blok
• Ingeslikte DraadDood
• Gecontroleerde uitzonderingen die ontsnappen uit finally
• Gooien van niet-aangegeven gecontroleerde uitzonderingen
• RuntimeException, Exception of Throwable gooien
• Lab - Uitzonderingsverwerkingszooi

Code kwaliteit

• Gegevens
• Rijen en toString()
• Initialisatie en opschonen
• Constructeurs en destructeurs
• Cycli voor klasse-initialisatie
• Lab - initialisatiecycli
• Niet-vrijgegeven bron
• Objectgeoriënteerd programmeren valkuilen
• Toegankelijkheidsaanpassingen
• Overschrijven en toegankelijkheidsmodifiers
• Erven en oversturen
• Gelijk() implementeren
• Mutabiliteit
• Lab - Muteerbaar object
• Klonen
• Gevoelige klassen klonen - object hijacking
• Object hijacking - beste praktijken
• Serialisatie

Ontzegging van service

• Ontzegging van service
• Uitputting van hulpbronnen
• Kasoverschot
• Overstroming
• Duurzame betrokkenheid van klanten
• Denial of service-problemen in Java
• Oneindige lus
• Lab - Grondstoffen uitputtend
• Versterking
• Netwerkversterking
• Versterking in databases
• Andere versterkingsvoorbeelden
• Complexiteit algoritme
• Ontzegging van de service door reguliere expressie (ReDoS)
• Lab - ReDos
• Hashtable botsing
• Hoe werken hashtabellen?
• Hash-botsing in geval van hashtables
• Hashtable botsing in Java

Inpakken

Principes voor veilig coderen

• Grondbeginselen van robuust programmeren door Matt Bishop
• Veilige ontwerpprincipes van Saltzer en Schröder
• Nog enkele principes

En wat nu?

• Verdere bronnen en lezingen

Verdere labs en uitdagingen