Secure Coding και OWASP ASVS — DedSec Project

Ελληνική έκδοση — Μάθημα 040. Οι διεθνείς τεχνικοί όροι, protocol names, standards και commands διατηρούνται στα Αγγλικά όπου αυτό βοηθά την ακρίβεια.

Στόχος του μαθήματος

Στην εφαρμοσμένη ασφάλεια web και assessments, κάθε request είναι μεταφορά δεδομένων και authority μέσα από πολλαπλά layers. Browser, proxy, web server, framework, API, database και identity provider μπορεί να ερμηνεύουν διαφορετικά την ίδια πληροφορία. Η βαθιά κατανόηση απαιτεί να παρακολουθείς normalization, parsing, state, authentication και authorization αντί να στηρίζεσαι μόνο σε signatures ή έτοιμα scanners.

Σε αυτό το μάθημα εστιάζεις ειδικά στο Secure Coding και OWASP ASVS. Στο τέλος πρέπει να μπορείς να περιγράψεις το security model με δικά σου λόγια, να αναγνωρίζεις τα βασικά failure modes, να σχεδιάζεις ασφαλή test cases και να εξηγείς ποιο evidence χρειάζεται για να στηριχθεί ένα συμπέρασμα.

Θέματα που καλύπτονται

• Secure coding is a system Για το Secure coding is a system, ακολούθησε data/control flow από source σε sink, σημείωσε validation και ownership assumptions και έλεγξε πού εφαρμόζεται enforcement. Χρησιμοποίησε tests και static/runtime evidence για να ξεχωρίσεις root cause από απλό code smell.
• ASVS as a requirements catalog Για το ASVS as a requirements catalog, στο πλαίσιο του Secure Coding και OWASP ASVS, κατέγραψε (1) ποιο component ή actor έχει authority, (2) ποιο state/data αλλάζει, (3) ποια validation πρέπει να γίνει πριν από την αλλαγή και (4) ποιο log, trace, configuration ή test result αποδεικνύει ότι το control λειτουργεί.
• Input validation Για το Input validation, παρακολούθησε το input από client μέχρι parser/framework/backend και πίσω. Κατέγραψε normalization, origin/session context, server-side authorization και output handling ώστε να εντοπίζεις το ακριβές trust boundary.
• Output handling Για το Output handling, στο πλαίσιο του Secure Coding και OWASP ASVS, κατέγραψε (1) ποιο component ή actor έχει authority, (2) ποιο state/data αλλάζει, (3) ποια validation πρέπει να γίνει πριν από την αλλαγή και (4) ποιο log, trace, configuration ή test result αποδεικνύει ότι το control λειτουργεί.
• SQL and data stores Για το SQL and data stores, παρακολούθησε το input από client μέχρι parser/framework/backend και πίσω. Κατέγραψε normalization, origin/session context, server-side authorization και output handling ώστε να εντοπίζεις το ακριβές trust boundary.
• Command execution Για το Command execution, στο πλαίσιο του Secure Coding και OWASP ASVS, κατέγραψε (1) ποιο component ή actor έχει authority, (2) ποιο state/data αλλάζει, (3) ποια validation πρέπει να γίνει πριν από την αλλαγή και (4) ποιο log, trace, configuration ή test result αποδεικνύει ότι το control λειτουργεί.
• Authorization Για το Authorization, χαρτογράφησε principal/subject, credential ή authentication context, permissions, lifetime και revocation. Ξεχώρισε ποιο component πιστοποιεί την ταυτότητα από εκείνο που παίρνει την τελική authorization απόφαση.
• Authentication and session management Για το Authentication and session management, χαρτογράφησε principal/subject, credential ή authentication context, permissions, lifetime και revocation. Ξεχώρισε ποιο component πιστοποιεί την ταυτότητα από εκείνο που παίρνει την τελική authorization απόφαση.
• Error handling Για το Error handling, δες το workflow σαν reproducible local environment: paths, package/source provenance, permissions, environment state, error handling και rollback. Στο Termux προτίμησε standard-library εργαλεία, explicit paths και δοκιμές σε harmless local files/services.
• Secrets Για το Secrets, ξεχώρισε primitive από protocol και key-management policy. Κατέγραψε generation, storage, distribution, rotation, revocation, trust anchors και failure behavior σε όλο το lifecycle.
• File handling Για το File handling, στο πλαίσιο του Secure Coding και OWASP ASVS, κατέγραψε (1) ποιο component ή actor έχει authority, (2) ποιο state/data αλλάζει, (3) ποια validation πρέπει να γίνει πριν από την αλλαγή και (4) ποιο log, trace, configuration ή test result αποδεικνύει ότι το control λειτουργεί.
• Deserialization and parsers Για το Deserialization and parsers, ακολούθησε data/control flow από source σε sink, σημείωσε validation και ownership assumptions και έλεγξε πού εφαρμόζεται enforcement. Χρησιμοποίησε tests και static/runtime evidence για να ξεχωρίσεις root cause από απλό code smell.
• Logging requirements Στο Logging requirements, όρισε πρώτα την αναμενόμενη συμπεριφορά και τις telemetry sources που πρέπει να τη δείχνουν. Συσχέτισε identity, process, network και χρόνο, κατέγραψε blind spots και ξεχώρισε observation από inference.
• Dependency security Για το Dependency security, ακολούθησε data/control flow από source σε sink, σημείωσε validation και ownership assumptions και έλεγξε πού εφαρμόζεται enforcement. Χρησιμοποίησε tests και static/runtime evidence για να ξεχωρίσεις root cause από απλό code smell.
• Ασφάλεια tests Για το Ασφάλεια tests, στο πλαίσιο του Secure Coding και OWASP ASVS, κατέγραψε (1) ποιο component ή actor έχει authority, (2) ποιο state/data αλλάζει, (3) ποια validation πρέπει να γίνει πριν από την αλλαγή και (4) ποιο log, trace, configuration ή test result αποδεικνύει ότι το control λειτουργεί.
• Code review questions Για το Code review questions, ακολούθησε data/control flow από source σε sink, σημείωσε validation και ownership assumptions και έλεγξε πού εφαρμόζεται enforcement. Χρησιμοποίησε tests και static/runtime evidence για να ξεχωρίσεις root cause από απλό code smell.
• Lab — Ασφάλεια requirement to test Στο Lab — Ασφάλεια requirement to test, όρισε συγκεκριμένο objective, owned/local scope, expected result και stop condition. Κράτησε μόνο sanitized evidence, σύγκρινε expected με observed behavior και ολοκλήρωσε με remediation και ίδιο regression test.
• Primary reference Για το Primary reference, ξεχώρισε normative specification από tutorial ή vendor summary. Κατέγραψε έκδοση/ημερομηνία, ποιο requirement στηρίζει το συμπέρασμα και ποιο μέρος του Secure Coding και OWASP ASVS χρειάζεται επανέλεγχο όταν αλλάξει η πηγή.
• Secure coding program guidance Για το Secure coding program guidance, ακολούθησε data/control flow από source σε sink, σημείωσε validation και ownership assumptions και έλεγξε πού εφαρμόζεται enforcement. Χρησιμοποίησε tests και static/runtime evidence για να ξεχωρίσεις root cause από απλό code smell.
• Requirements to tests Για το Requirements to tests, στο πλαίσιο του Secure Coding και OWASP ASVS, κατέγραψε (1) ποιο component ή actor έχει authority, (2) ποιο state/data αλλάζει, (3) ποια validation πρέπει να γίνει πριν από την αλλαγή και (4) ποιο log, trace, configuration ή test result αποδεικνύει ότι το control λειτουργεί.
• Trust-boundary validation Για το Trust-boundary validation, στο πλαίσιο του Secure Coding και OWASP ASVS, κατέγραψε (1) ποιο component ή actor έχει authority, (2) ποιο state/data αλλάζει, (3) ποια validation πρέπει να γίνει πριν από την αλλαγή και (4) ποιο log, trace, configuration ή test result αποδεικνύει ότι το control λειτουργεί.
• Dependencies and build Για το Dependencies and build, χαρτογράφησε control plane, workload identity, permissions, artifact/data provenance και lifecycle. Έλεγξε πώς δημιουργείται authority, πού κληρονομείται, πώς ανακαλείται και τι audit trail παραμένει.

Μέθοδος ανάλυσης

Χρησιμοποίησε τη Μεθοδολογία Μελέτης για scope, evidence, note-taking και κριτήρια ολοκλήρωσης. Για το Secure Coding και OWASP ASVS, πριν κάνεις οποιοδήποτε test σχεδίασε τα components, σημείωσε πού αλλάζει η εμπιστοσύνη και γράψε μία πρόταση που περιγράφει το security invariant που θέλεις να ελέγξεις.

Καθοδηγούμενο εργαστήριο

Χρησιμοποίησε μόνο localhost, intentionally vulnerable training apps ή ρητά εξουσιοδοτημένα συστήματα. Κατέγραψε request/response, server-side logs και την ακριβή security invariant που ελέγχεις.

Ακολούθησε τη Μεθοδολογία Μελέτης: γράψε expected result πριν το test, άλλαξε μία μεταβλητή κάθε φορά, κράτησε sanitized evidence και κάνε retest μετά το hardening του Secure Coding και OWASP ASVS.

Έλεγχος γνώσεων

• Μπορείς να εξηγήσεις το βασικό trust boundary του Secure Coding και OWASP ASVS χωρίς σημειώσεις;
• Μπορείς να δώσεις ένα failure mode και να πεις ποιο evidence θα το επιβεβαίωνε;
• Μπορείς να ξεχωρίσεις symptom, root cause και compensating control;
• Μπορείς να σχεδιάσεις ασφαλές retest που δεν επεκτείνει το scope;

Πλήρες αγγλικό μάθημα

English Module 040