Beveiligingsaspecten van webapplicatie ontwikkeling

Beveiligingsaspecten van webapplicatie ontwikkeling 9-4-2009 Wouter van Kuipers Informatiekunde Radboud Universiteit Nijmegen [email protected]

Inhoud

     

2

Het onderzoek Literatuurstudie Interviews Sourcecode analyzer Best practices Conclusie

Wouter van Kuipers - [email protected]

Achtergrond



Opleidingen   



Werkervaring  

3

MBO Informatica HBO Communicatie systemen WO Informatiekunde Freelance PHP programmeur Dacon


Het onderzoek



Waarom dit onderwerp   



Het doel 

4

Vooropleiding Werkervaring Veranderingen in de softwaremarkt Oplossingen bieden aan ontwikkelbedrijven


Bron: webwereld.nl

5


Bron: security.nl

6


Bron: security.nl

7


Het onderzoek 

Achtergrond   



PHP Hypertext preprocessor   

8

Computer applicaties Het World Wide Web Webapplicaties  Web 2.0 Marktaandeel 33% Laagdrempelig Ontwikkelgemak ten kosten van security


Interviews 

Kleine bedrijven  



Grote bedrijven  



Duidelijke verantwoordelijkheden Scholing goed geregeld

Overigen  

9

Ontwikkelaar verantwoordelijk voor eigen werk Geen geld/tijd voor persoonlijke ontwikkeling

Code testen (J AVA) Awareness bij het management


Literatuurstudie



Oplossingen als Microsoft SDL  

10

Totaalpakket aan oplossingen Geschikt voor grote bedrijven


Literatuurstudie



PHP oplossingen  

11

Lost slechts een deel van het probleem op Geschikt voor kleinere bedrijven


Literatuurstudie



Informatie op het internet  

12

Lastig te vinden Lastig te beoordelen


Sourcecode analyzer



Fortify 360    

13

Sourcecode Analyzer (SCA) Real-time Analyzer (RTA) Program Trace Analyzer (PTA) ASP.NET, C#.NET, VB.NET, C/C++, J AVA, PLSQL/TSQL, PHP en VB


Sourcecode analyzer Audit

14

Resultaten


Rapport




Doel 

15

Resultaten

Rapport

Analyseren van de broncode op problemen


16





Doel 

17

Resultaten

Rapport

Ordenen van gevonden problemen


18





Doel 

19

Resultaten

Rapport

Informeren van het management


Sourcecode analyzer 

Onderzoek   

Automatische analyse door Fortify Handmatige analyse resultaten Scannen van twee zelf geschreven applicaties   

20

Content Management Systeem Customer Relationship Management System 30.000 SLOC



Tijdsduur   



Resultaten   

21

Scannen code: 6 minuten Handmatige analyse problemen CMS: 50 min. Handmatige analyse problemen CRM: 145 min. Totaal aantal positives: 421 (CMS 248, CRM 173) Aantal true positives: 282 (67% ) Aantal false positives: 139 (33% )



Analyse problemen 

Hoge score op makkelijk te herleiden gevaren  



Lage score op lastig te herleiden gevaren  



22

Hash functies Password in comment XSS CSRF

Wat is een probleem?


Probleem?

 

 

23

# genereer een unieke naam $name = md5(time().rand()); # ask user for password Function askPassword(){ …



Conclusie     

24

Goede detectie Goede aanvulling op bestaande werkwijze Snel en goedkoop Lastig om andermans code te analyseren  analyseer eigen code Programma leidt programmeur op


Conclusie   

Webapplicatie != desktopapplicatie Security beleid voor grote bedrijven goed geregeld Kleine bedrijven missen   

 

Gebruik SCA’s voor analyse OWASP 

25

Awareness Budget Scholing

Verzamel bronnen


Bedankt voor uw aandacht

26


Beveiligingsaspecten van webapplicatie ontwikkeling

Recommend Documents