Formation OWASP Top 10 2025

A01:2025 - Contrôle d'accès défaillant
A02:2025 - Mauvaise configuration de la sécurité
A03:2025 - Défaillances de la chaîne d'approvisionnement logicielle
A04:2025 - Défaillances cryptographiques
A05:2025 - Injection
A06:2025 - Conception non sécurisée
A07:2025 - Défaillances d'authentification
A08:2025 - Défaillances d'intégrité du logiciel ou des données
A09:2025 - Défaillances de la journalisation de la sécurité et des alertes
A10:2025 - Gestion inappropriée des conditions exceptionnelles

A01:2025 Contrôle d'accès défaillant - Le contrôle d'accès applique une politique garantissant que les utilisateurs ne peuvent pas agir au-delà de leurs autorisations prévues. Les défaillances entraînent généralement la divulgation, la modification ou la destruction non autorisées de données, ou l'exécution de fonctions commerciales au-delà des limites de l'utilisateur.

A02:2025 Mauvaise configuration de la sécurité - Une mauvaise configuration de la sécurité se produit lorsqu'un système, une application ou un service cloud est configuré de manière incorrecte d'un point de vue de la sécurité, créant ainsi des vulnérabilités.

A03:2025 Défaillances de la chaîne d'approvisionnement logicielle - Les défaillances de la chaîne d'approvisionnement logicielle sont des pannes ou d'autres compromissions dans le processus de construction, de distribution ou de mise à jour de logiciels. Elles sont souvent causées par des vulnérabilités ou des modifications malveillantes dans le code tiers, les outils ou d'autres dépendances sur lesquels le système s'appuie.

A04:2025 Défaillances cryptographiques - En général, toutes les données en transit doivent être chiffrées au niveau de la couche de transport (couche OSI 4). Les obstacles antérieurs tels que la performance du processeur et la gestion des clés privées/certificats sont désormais gérés par des processeurs disposant d'instructions conçues pour accélérer le chiffrement (p. ex. : prise en charge de l'AES) et la simplification de la gestion des clés privées et des certificats par des services comme LetsEncrypt.org, les principaux fournisseurs de cloud offrant des services de gestion de certificats encore plus intégrés pour leurs plateformes spécifiques. En plus de sécuriser la couche de transport, il est important de déterminer quelles données nécessitent un chiffrement au repos et quelles données nécessitent un chiffrement supplémentaire en transit (à la couche application, couche OSI 7). Par exemple, les mots de passe, les numéros de cartes de crédit, les dossiers médicaux, les informations personnelles et les secrets d'affaires nécessitent une protection supplémentaire, surtout si ces données sont soumises à des lois sur la vie privée, p. ex. le Règlement général sur la protection des données (RGPD) de l'UE, ou à des réglementations telles que le Standard de sécurité des données de l'industrie des cartes de paiement (PCI DSS).

A05:2025 Injection - Une vulnérabilité d'injection est un défaut du système qui permet à un attaquant d'insérer du code ou des commandes malveillants (tels que du code SQL ou shell) dans les champs d'entrée d'un programme, trompant le système pour qu'il exécute le code ou les commandes comme s'ils faisaient partie du système. Cela peut entraîner des conséquences véritablement désastreuses.

A06:2025 Conception non sécurisée - La conception non sécurisée est une catégorie large représentant diverses faiblesses, exprimées comme « conception de contrôles absents ou inefficaces ». La conception non sécurisée n'est pas la source de toutes les autres catégories de risques du Top 10. Notez qu'il existe une différence entre une conception non sécurisée et une mise en œuvre non sécurisée. Nous distinguons entre les défauts de conception et les défauts de mise en œuvre pour une raison : ils ont des causes racines différentes, se produisent à des moments différents dans le processus de développement et ont des correctifs différents. Une conception sécurisée peut tout de même avoir des défauts de mise en œuvre menant à des vulnérabilités qui peuvent être exploitées. Une conception non sécurisée ne peut pas être corrigée par une mise en œuvre parfaite, car les contrôles de sécurité nécessaires n'ont jamais été créés pour se défendre contre des attaques spécifiques. L'un des facteurs qui contribuent à une conception non sécurisée est le manque de profilage des risques d'affaires inhérent au logiciel ou au système en cours de développement, et donc l'échec à déterminer le niveau de conception de sécurité requis.

A07:2025 Défaillances d'authentification - Cette vulnérabilité est présente lorsqu'un attaquant parvient à tromper un système pour qu'il reconnaisse un utilisateur invalide ou incorrect comme légitime.

A08:2025 Défaillances d'intégrité du logiciel ou des données - Les défaillances d'intégrité du logiciel et des données concernent le code et l'infrastructure qui ne protègent pas contre le fait que du code ou des données invalides ou non fiables soient traités comme fiables et valides. Un exemple de cela est lorsqu'une application s'appuie sur des plugins, des bibliothèques ou des modules provenant de sources non fiables, de dépôts et de réseaux de diffusion de contenu (CDN). Un pipeline CI/CD non sécurisé qui ne consomme ni ne fournit de vérifications d'intégrité logicielle peut introduire le risque d'accès non autorisé, de code non sécurisé ou malveillant, ou de compromission du système. Un autre exemple est un CI/CD qui récupère du code ou des artefacts de lieux non fiables et/ou ne les vérifie pas avant utilisation (en vérifiant la signature ou un mécanisme similaire). 

A09:2025 Défaillances de la journalisation de la sécurité et des alertes  - Sans journalisation et surveillance, les attaques et les violations ne peuvent pas être détectées, et sans alertes, il est très difficile de réagir rapidement et efficacement lors d'un incident de sécurité. La journalisation insuffisante, la surveillance continue, la détection et les alertes pour initier des réponses actives se produisent à tout moment

A10:2025 Gestion inappropriée des conditions exceptionnelles - La gestion inappropriée des conditions exceptionnelles dans les logiciels se produit lorsque les programmes échouent à prévenir, détecter et répondre à des situations inhabituelles et imprévisibles, ce qui entraîne des plantages, un comportement inattendu et parfois des vulnérabilités. Cela peut impliquer l'un ou l'ensemble des trois échecs suivants : l'application ne prévient pas la survenue d'une situation inhabituelle, elle ne reconnaît pas la situation au moment où elle se produit, et/ou elle répond mal ou ne répond pas du tout à la situation par la suite.

Nous discuterons et présenterons des aspects pratiques de :

Contrôle d'accès défaillant
- Exemples pratiques de contrôles d'accès défaillants
- Contrôles d'accès sécurisés et meilleures pratiques

Mauvaise configuration de la sécurité
- Exemples réels de mauvaises configurations
- Étapes pour prévenir la mauvaise configuration, y compris la gestion de la configuration et les outils d'automatisation

Défaillances cryptographiques
- Analyse détaillée des défaillances cryptographiques telles que les algorithmes de chiffrement faibles ou la mauvaise gestion des clés
- Importance des mécanismes cryptographiques robustes, des protocoles sécurisés (SSL/TLS) et des exemples de cryptographie moderne en sécurité Web

Attaques par injection
- Décryptage détaillé de l'injection SQL, NoSQL, OS et LDAP
- Techniques d'atténuation à l'aide d'énoncés préparés, de requêtes paramétrées et de l'échappement des entrées

Conception non sécurisée
- Nous explorerons les défauts de conception qui peuvent mener à des vulnérabilités, comme la validation inappropriée des entrées
- Nous étudierons les stratégies pour une architecture sécurisée et les principes de conception sécurisée

Défaillances d'authentification
- Problèmes d'authentification courants
- Stratégies d'authentification sécurisées, comme l'authentification multi-facteurs et la bonne gestion des sessions

Défaillances d'intégrité du logiciel et des données
- Accent sur les problèmes comme les mises à jour logicielles non fiables et la manipulation de données
- Mécanismes de mise à jour sécurisés et vérifications d'intégrité des données

Défaillances de la journalisation et de la surveillance de la sécurité
- Importance de la journalisation des informations de sécurité pertinentes et de la surveillance des activités suspectes
- Outils et pratiques pour une journalisation appropriée et une surveillance en temps réel pour détecter tôt les violations