En poursuivant votre navigation sur ce site, vous acceptez l’utilisation de cookies pour vous proposer des services et offres adaptés à vos centres d’intérêts.FERMER  x
Pour en savoir plus et paramétrer les cookies...

Les applications web toujours aussi vulnérables

Comme chaque année, l’Owasp, une organisation communautaire, publie son palmarès des risques liés aux applications web. En étant plus didactique, ce document vise à sensibiliser les dirigeants.

laisser un avis
Les principaux risques liés aux applications web restent toujours les mêmes. Telle est la conclusion du Top 10 publié par l'Owasp (Open Web Application Security Project), une organisation mondiale indépendante basée sur le volontariat et l'open source. En 2007, le trio de tête était le suivant : injections côté serveur, injections de scripts côté client, et enfin, gestion défaillante de l'authentification et des sessions. Il est identique dans le dernier Top 10.
Les risques les plus dangereux concernent toujours les injections de commande. L'attaque de type cross site scripting qui, il y a peu, a fait tomber Apache, l'a confirmé récemment. Ce document de l'Owasp confirme les faiblesses structurelles des applications web. Conçues principalement pour améliorer le travail des entreprises, elles privilégient souvent l'efficacité au détriment de la sécurité. « De nombreuses applications disposent d'une interface d'administration. Or, elles sont régulièrement mises en production sans changer le mot de passe par défaut de l'interface », constate Jean-Baptiste Aviat, consultant sécurité chez HSC.
Sébastien Gioria, consultant en sécurité et représentant du chapitre français de l'Owasp, rappelle qu'il « existe à ce jour au moins plusieurs centaines de problèmes affectant l'ensemble de la sécurité d'une application web ».

Sensibiliser les dirigeants...

Mais repérer et colmater une vulnérabilité n'est pas suffisant : il faut une approche globale de la sécurité. C'est la raison pour laquelle l'Owasp a modifié le contenu de son palmarès pour le rendre accessible à tout le monde. Son Top 10 a en effet acquis une légitimité depuis sa création en 2003, mais il est surtout lu par des experts. « En étant plus pédagogique, nous visons notamment les dirigeants, explique Sébastien Gioria. Nous avons décidé de parler de risques et non plus uniquement de vulnérabilités. C'est l'impact qui est important. Il faut anticiper », poursuit-il.

... et les développeurs

Pour cet expert, « il faut appliquer les concepts de sécurité dans le cycle de développement (Secure Software Development Life Cycle ou SDLC). Les programmes sont à sécuriser par conception, pendant le développement et par défaut. »
La situation semble d'ailleurs évoluer. « Dans les tests d'intrusions effectués au quotidien, HSC a remarqué une baisse des injections SQL dans les applications récentes. Cette évolution s'explique, en partie, par la généralisation de l'utilisation de frameworks tels que Hibernate ou Ruby on Rails, qui embarquent nativement des mécanismes comme les requêtes préparées », explique Jean-Baptiste Aviat. Pour ce consultant, « il est important de laisser du temps aux développeurs pour leur formation, mais également pour la veille technologique relative au langage, aux frameworks employés, aux composants tiers (plug in, bases de données...) ».
envoyer
par mail
imprimer
l'article
@01Business_fr sur
à lire aussi
SUR LES MÊMES THÈMES
L’Internet des objets : un cauchemar ou une chance pour la sécurité ?
Le groupe Gorgé rachète le spécialiste des drones aériens Infotron
VMware devrait fournir plus de 20 correctifs pour Heartbleed samedi
Les premiers piratages basés sur Heartbleed se font jour
Akamai est toujours en train de mettre à jour son infrastructure
BlackBerry devrait fournir un correctif pour Heartbleed d’ici vendredi
Les entreprises trop lentes à détecter les attaques informatiques
La faille Heartbleed concerne les produits réseaux de Cisco et Juniper
Fin du support de XP : les entreprises françaises particulièrement menacées
Cybersécurité, 2013 a vu une explosion des vols de données à grande échelle
Inside Secure se renforce dans la sécurité des paiements mobiles
Fin du support de XP : la Saint Hacker tombera-t-elle un 8 avril ?
Game of Thrones, la série qui met les entreprises en danger
Cyber@Hack, une journée pour sensibiliser aux enjeux de la sécurité informatique
Samsung étoffera ses services gérés de sécurité pour flotte de mobiles
La Cnil autorise la SNCF à évaluer les risques de fraude en ligne
Une « carte de la cyberguerre » en temps réel, signée Kasperky
Le départ précipité du PDG de Symantec place l’entreprise dans l’incertitude
Après l'éviction de son PDG, l'action de Symantec plonge