L'article peut contenir des analyses et interprétations inexactes ou inédites de sources primaires. Pour améliorer la vérifiabilité de l'article ainsi que son intérêt encyclopédique, il est nécessaire, quand des sources primaires sont citées, de les associer à des analyses faites par des sources secondaires.
Une image de son élément wikidata.
Open Web Application Security Project (OWASP), désormais Open Worldwide Application Security Project, est une communauté en ligne travaillant sur la sécurité des applications Web. Sa philosophie est d'être à la fois libre et ouverte à tous. Elle a pour vocation de publier des recommandations de sécurisation Web et de proposer aux internautes, administrateurs et entreprises des méthodes et outils de référence permettant de contrôler le niveau de sécurisation de ses applications Web.
OWASP est créé par Mark Curphey le . Jeff Williams est nommé président bénévole de la fin de l’année 2003 à . Tobias Gondrom lui succède. Avi Douglen en assume la fonction pour un mandat de deux années courant jusqu’au .
La communauté OWASP est fondée quatre mois avant la publication du mémo «Trustworthy computing» par Bill Gates, lequel souligne la nécessité, avec la plus haute priorité, d’avoir des systèmes informatiques sécurisés et fiables. Elle se donne pour objectif de fournir des éléments, informations et solutions, aux développeurs afin que ces derniers puissent prendre des décisions en matière de sécurisation de leurs applications web.
Projets
Les projets les plus connus sont présentés ci-après.
Top 10 de OWASP (OWASP Top Ten)
Le projet OWASP Top Ten a pour but de fournir une liste des dix risques de sécurité les plus critiques dans les applications web afin d'y sensibiliser les développeurs web. Il repose principalement sur l’analyse en fréquences des vulnérabilités rapportées, en l’occurrence via les bulletins de sécurité des CSIRT et sur la base des CVE, et sur un consensus entre professionnels de la sécurité.
La première liste est publiée en 2003. OWASP a renouvelé cette liste en 2010, 2013, 2017, 2021 et 2025. La dernière mise à jour publiée est disponible sur le site web officiel dédié à OWASP Top Ten.
Version de 2017
En 2017, les dix failles les plus dangereuses identifiées par OWASP étaient les suivantes:
Injection: cela correspond à l'injection de code dans les applications web (exemple typique: injection SQL ou dans l'interface système). Les attaquants cherchent à entrer des données de façon qu'elles soient interprétées comme une commande, leur permettant ainsi d'effectuer des actions non désirées.
Broken authentification: cela correspond à une mauvaise gestion de l’authentification et de la session, que les attaquants peuvent exploiter pour récupérer mots de passe, clés, jetons de session, ou pour usurper l'identité d'un autre utilisateur.
XML external entities(en): les interpréteurs XML obsolètes ou mal configurés évaluent les entités externes déclarées dans un fichier XML. Or ces entités peuvent être utilisées pour accéder à des fichiers, analyser des ports ou exécuter du code à distance.
Broken access control: il s'agit de défauts dans la gestion des droits d'accès, permettant aux attaquants d'activer des fonctionnalités qui ne leur sont pas normalement accessibles.
Security misconfiguration: cela correspond aux failles de configuration liées aux serveurs web, applications, base de données ou frameworks.
Cross-site scripting: abrégée aussi en XSS, cette faille concerne les sites dont une partie du contenu est produite par les utilisateurs (médias sociaux notamment). Si le site ne vérifie pas les éditions des utilisateurs, des attaquants peuvent écrire du code malveillant dans une publication, lequel sera exécuté par un autre utilisateur à son insu, permettant ainsi le vol de sa session ou sa redirection vers un site frauduleux.
Insecure data deserialization: Une dé-sérialisation (conversion d'une chaîne de caractères en objets) non sécurisée peut permettre à un attaquant d'insérer ses propres objets et parfois son propre code malveillant dans une application.
Using components with known vulnerabilities: cela correspond aux failles liées à l’utilisation de composants tiers.
Insufficient logging and monitoring: la plupart des études de brèches de sécurité indiquent que la durée entre le début de l’exploitation et la découverte de ces brèches dépasse souvent 200 jours. Cela laisse largement le temps aux attaquants d’exploiter celles-ci et de perfectionner leur emprise sur le système. Les systèmes de surveillance informatique et de logging devraient être capables de détecter des activités suspectes pour émettre des alertes au plus tôt.
WebGoat
Il s'agit d'une plateforme de formation permettant à un utilisateur d'apprendre à exploiter les vulnérabilités les plus courantes sur une application Web.
Le projet OWASP Zed Attack Proxy, abrégé en ZAP, correspond à la mise au point d’un logiciel qui incorpore de nombreuses fonctionnalités utiles pour la réalisation d'audits de sécurité et qui opère en mode proxy de manière principale mais non exclusive. En plus de proposer à l'utilisateur de visualiser les requêtes échangées avec un serveur Web, ce logiciel rend possible la modification de ces requêtes ou encore l’analyse des identifiants de session.
OWASP Testing Guide
Il s'agit d'un document de plusieurs centaines de pages destiné à aider une personne à évaluer le niveau de sécurité d'une application Web.
OWASP Code Review Guide
Il s'agit d'un document de plusieurs centaines de pages présentant une méthode de revue de code sécurité.
Par ailleurs, OWASP organise régulièrement des meetings un peu partout dans le monde. Durant ces rendez-vous, des intervenants issus du monde de la sécurité présentent un produit, une faille, un projet OWASP etc.
↑(en) Conseil d’administration de OWASP, «January 2024 Agenda/Minutes» [«Ordre du jour et compte rendu de la réunion de janvier 2024»] , sur OWASP.org, (consulté le )
_OWASP.jpg)
