Webtoepassingsbeveiliging in Java-training

Day 1

Basisprincipes van beveiliging

Wat is veiligheid?

Bedreiging en risico

Soorten bedreigingen voor computersystemen

Gevolgen van onveilige software

Beperkingen en de markt

Bugs, kwetsbaarheden en exploits

Categorisering van bugs

• Zeven verderfelijke koninkrijken
• Algemene opsomming van zwakke punten (CWE)
• CWE/SANS Top 25 van gevaarlijkste softwarefouten
• SEI Cert richtlijnen voor veilig coderen
• Kwetsbaarheden in de omgeving en de afhankelijkheden

De top tien van OWASP

A1 - Injectie

• Injectieprincipes
• Injectieaanvallen
• SQL-injectie
• Basisbeginselen SQL-injectie
• Lab - SQL-injectie
• Aanvaltechnieken
• Op inhoud gebaseerde blinde SQL-injectie
• Op tijd gebaseerde blinde SQL-injectie
• SQL-injectie best practices
• Invoervalidatie
• Uitvoercodering
• Geparameteriseerde query's
• Andere best practices
• Lab - Opgestelde afschriften gebruiken
• Casestudy - Fortnite-accounts hacken
• Code injectie
• Opdrachtinjectie
• Lab - Opdrachtinjectie
• Best practices voor opdrachtinjectie
• Runtime.exec() gebruiken
• ProcessBuilder gebruiken
• Casestudie - Shellshock
• Scriptinjectie
• Injectie in expressietaal
• Beste praktijken voor injectie
• Invoervalidatie
• Uitvoer zuiveren
• De uitvoer coderen en escapen
• Uitdagingen bij het coderen

A2 - Gebroken authenticatie

• Basisprincipes van authenticatie
• Zwakke punten in authenticatie
• Spoofing op het web
• Casestudie - PayPal tweefactorauthenticatie omzeilen
• Wachtwoordbeheer
• Inkomend wachtwoordbeheer
• Accountwachtwoorden opslaan
• Plaintext wachtwoorden bij Facebook
• Lab - Waarom is het hashen van wachtwoorden alleen niet genoeg?
• Woordenboekaanvallen en brute forcing
• Zouten
• Adaptieve hashfuncties voor wachtwoordopslag
• Wachtwoord onderweg
• Wachtwoordbeleid
• Zwakke en sterke wachtwoorden
• Wachtzinnen gebruiken
• Lab - Een wachtwoordbeleid toepassen
• Het datalek bij Ashley Madison
• De woordenboekaanval
• De ultieme aanval
• Gebruik van de resultaten en de geleerde lessen
• Beheer van uitgaande wachtwoorden
• Harde wachtwoorden
• Lab - Hard gecodeerd wachtwoord
• Wachtwoord in configuratiebestand
• Gevoelige informatie in het geheugen beschermen
• Uitdagingen bij het beschermen van het geheugen
• Gevoelige gegevens opslaan in het geheugen
• Lab - Klassen voor geheimhouding gebruiken
• Sessiebeheer
• Essentiële functies voor sessiebeheer
• Waarom beschermen we sessie-ID's - Sessiekaping
• Best practices voor sessie-ID
• Onvoldoende sessie afloop
• Sessie fixatie
• Cross-site vervalsing van verzoeken (CSRF)
• Lab - Cross-site verzoekvervalsing
• CSRF best practices
• Lab - CSRF-bescherming met tokens
• Beveiliging cookies
• Beste praktijken voor cookiebeveiliging
• Cookie-parameters

Day 2

De top tien van OWASP

A3 - Blootstelling aan gevoelige gegevens

• Blootstelling aan informatie
• Blootstelling door geëxtraheerde gegevens en aggregatie
• Lekken van systeeminformatie
• Informatie over lekkend systeem
• Vertrouwen op toegankelijkheidsmodificatoren
• Lab - Ongepaste bescherming door toegankelijkheidsmodificator
• Best practices voor blootstelling aan informatie

A4 - Externe XML-entiteiten (XXE)

• DTD en de entiteiten
• Uitbreiding van entiteiten
• Aanval op een externe entiteit (XXE)
• Bestandsopname met externe entiteiten
• Server-side request forgery met externe entiteiten
• Lab - Aanval door een externe entiteit
• Casestudie - XXE-aanval op enkele populaire services
• XXE voorkomen

A5 - Gebroken toegangscontrole

• Basisprincipes toegangscontrole
• Ontbrekende of onjuiste autorisatie
• Het niet beperken van URL-toegang
• Verward afgevaardigde
• Onveilige directe objectverwijzing (IDOR)
• Lab - Onveilige directe objectverwijzing
• Autorisatie omzeilen via door gebruiker beheerde sleutels
• Casestudy - Autorisatieomleiding op Facebook
• Bestanden uploaden
• Onbeperkte upload van bestanden
• Beste praktijken
• Lab - Onbeperkte upload van bestanden

A6 - Verkeerde configuratie van de beveiliging

• Configuratieprincipes
• Verkeerde configuratie server
• Configuratiebeheer
• Java-gerelateerde componenten - best practices
• Tomcat configuratie

A7 - Cross-site scripting (XSS)

• Basisprincipes van cross-site scripting
• Typen cross-site scripting
• Persistente cross-site scripting
• Gereflecteerde cross-site scripting
• Cross-site scripting aan de klantzijde (DOM-gebaseerd)
• Casestudie - Yahoo mail opgeslagen XSS
• Lab - Gespiegelde en opgeslagen XSS
• Best practices voor XSS-bescherming
• Beschermingsprincipes - ontsnappen
• Extra beschermingslagen
• Principes voor bescherming aan de klantzijde
• XSS-beschermings-API's in Java
• Lab - XSS best practices

A8 - Onveilige deserialisatie

• Uitdagingen voor serialisatie en deserialisatie
• Onvertrouwde streams deserialiseren
• Best practices voor deserialiseren
• ReadObject gebruiken
• Verzegelde objecten
• Vooruitblik deserialisatie
• Eigenschap-georiënteerd programmeren (POP)
• Beste praktijken voor POP
• Lab - POP payload maken

A9 - Onderdelen gebruiken met bekende kwetsbaarheden

• Kwetsbare onderdelen gebruiken
• De omgeving beoordelen
• Verharding
• Functionaliteit importeren uit niet-vertrouwde bronnen
• Casestudie - Het datalek bij British Airways
• Beheer van kwetsbaarheden
• Patchbeheer
• Kwetsbaarheidsdatabases en scantools
• Kwetsbaarheidsbeoordeling - CVSS
• Lab - Kwetsbaarheden vinden van gebruikte componenten
• Het bouwproces en CI/CD
• Afhankelijkheid controleren in Maven
• Lab - Kwetsbare onderdelen detecteren tijdens het bouwen

A10 - Onvoldoende logging en bewaking

• Principes voor loggen en bewaken
• Loggen
• Onvoldoende logboekregistratie
• Best practices voor loggen
• Java logging best practices
• Bewaking
• Best practices monitoren

Beveiliging van webtoepassingen buiten de Top Tien

• Beveiliging aan de klantzijde
• Beleid voor dezelfde herkomst
• Eenvoudig verzoek
• Preflightverzoek
• Het beleid van dezelfde oorsprong omzeilen
• Bronnen delen tussen verschillende landen
• Frame zandbakken
• Clickjacking
• Best practices voor bescherming tegen Clickjacking
• Lab - Clickjacking
• JavaScript-kaping

Dag 3

Veelvoorkomende zwakke plekken in de beveiliging van software

Invoervalidatie

• Principes voor ingangsvalidatie
• Zwarte lijsten en witte lijsten
• Validatie met regex
• Wat valideren - het aanvalsoppervlak
• Wanneer valideren - validatie vs transformaties
• Waar valideren - verdediging in de diepte
• Server- versus client-validatie
• Behandeling van gehele getallen
• Getekende getallen weergeven
• Integer visualiseren
• Problemen met gehele getallen
• Overloop integer
• Lab - Integer overflow
• Getekende / niet-getekende verwarring
• Getekende / niet-getekende verwarring in Java
• Gehele truncatie
• Beste praktijken
• Upcasting
• Testen op randvoorwaarden
• Testen na de voorwaarde
• Grote integer bibliotheken gebruiken
• Integerverwerking in Java
• Lab - Behandeling van gehele getallen
• Andere numerieke problemen
• Delen door nul
• Werken met drijvende-kommagetallen
• Onveilige reflectie
• Reflectie zonder validatie
• Lab - Onveilige reflectie
• Onveilige native code
• Native code afhankelijkheid
• Lab - Onveilige JNI
• Enkele andere problemen met invoervalidatie

Beveiligingsfuncties

• Beveiliging Java-platform
• De programmeertaal Java en runtime-omgeving
• Type veiligheid en beveiliging
• Beveiligingsfuncties van de JRE
• De ClassLoader en de BytecodeVerifier
• Toegangsbeheer op applicatieniveau in Java
• Machtigingen en de beveiligingsmanager
• Best practices voor privileges
• Lab - Werken met rechten in Java
• Rolgebaseerde toegangscontrole
• Java Authenticatie- en Autorisatiediensten (JAAS)
• Java-code en -toepassingen beschermen
• Code ondertekenen

Fouten

• Principes voor afhandeling van fouten en uitzonderingen
• Foutafhandeling
• Een misleidende statuscode retourneren
• Bereikbare bewering
• Blootstelling aan informatie door foutenrapportage
• Ontbrekende aangepaste foutpagina's
• Uitzonderingsverwerking
• In het vangblok. En wat nu?
• Leeg vangblok
• Beste praktijken voor vangblokken
• Te brede worpen
• NULL pointer uitzonderingen vangen
• Onjuiste voltooiing van het laatste blok
• Ingeslikte DraadDood
• Gecontroleerde uitzonderingen die ontsnappen uit finally
• Gooien van niet-aangegeven gecontroleerde uitzonderingen
• RuntimeException, Exception of Throwable gooien
• Lab - Uitzonderingsverwerkingszooi

Code kwaliteit

• Gegevens
• Rijen en toString()
• Initialisatie en opschonen
• Constructeurs en destructeurs
• Cycli voor klasse-initialisatie
• Lab - initialisatiecycli
• Niet-vrijgegeven bron
• Objectgeoriënteerd programmeren valkuilen
• Toegankelijkheidsaanpassingen
• Overschrijven en toegankelijkheidsmodifiers
• Erven en oversturen
• Gelijk() implementeren
• Mutabiliteit
• Lab - Muteerbaar object
• Klonen
• Gevoelige klassen klonen - object hijacking
• Object hijacking - beste praktijken
• Serialisatie
• Seriëren van gevoelige gegevens
• Serialisatie best practices
• Lab - Seriëren van gevoelige gegevens
• DoS met deserialisatie
• Geheugenlekken tijdens serialisatie

Inpakken

Principes voor veilig coderen

• Grondbeginselen van robuust programmeren door Matt Bishop
• Veilige ontwerpprincipes van Saltzer en Schröder
• Nog enkele principes

En wat nu?

• Verdere bronnen en lezingen
• .NET en C# bronnen

Verdere labs en uitdagingen