Formation Secure Coding Java

1/ Introduction

• Les risques liés au développement

• Les traces laissées par les développeurs : mémoire, journaux, …

• Les attaques

2/ Normes ou assimilées

• Cert Secure Coding

• NIST Frameworks

• CWE

• L'OWASP (but, guides, outils)

• Lodage sécurisé d’une application

3/ Sécurité Applicative via l’OWASP Top10 v2017

• Concepts de sécurité applicative

• Sécuriser la conception

• Démonstrations et exercices pour certaines vulnérabilités (liste non exhaustive)

• XSS (stocké, réfléchi)

• Injection (SQL, NoSQL)

• Fuite d’informations

• XXE

• Désérialisation Java

• Référence non sécurisée

4/ Description des outils OWASP

• OWASP Testing Guide

• OWASP Zap

• Dependency Check

• OWASP Mobile Project

• OWASP Top10 project

5/ Classification des risques CERT

• Domaines

• Validation des entrées, déclaration et initialisation, expressions, …

• Sévérité, priorité, …

• Guidelines

6/ Sécurisation de la JVM

• Le bac à sable

• ClassLoader

• SecurityManager

• AccessController

• Le fichier java.policy

• Le fichier security.policy

• L'outil PolicyTool

7/ Langage Java et la JVM

• Sécurité intrinsèque du langage

• Modèle mémoire

• Le chargement des classes

• Modèle de sécurité : sand box, fichier policy, ….

8/ Les bonnes pratiques

• Validation des entrées

• Opérations sur les types numériques

• Les classes

• Les exceptions

• Multi-threading et synchronisation

• Les entrées-sorties

• La sérialisation

• Gestion des permissions