Ασφάλεια εφαρμογών για προγραμματιστές Κομμάτι εκπαίδευσης

Η υλοποίηση μιας ασφαλούς δικτυακής εφαρμογής μπορεί να είναι δύσκολη, ακόμα και για προγραμματιστές που έχουν ήδη χρησιμοποιήσει διάφορα κρυπτογραφικά δομικά στοιχεία (όπως κρυπτογράφηση και ψηφιακές υπογραφές). Για να βοηθήσουμε τους συμμετέχοντες να κατανοήσουν τον ρόλο και τη χρήση αυτών των κρυπτογραφικών πρωτογενών, παρέχεται πρώτα ένα στέρεο υπόβαθρο στις βασικές απαιτήσεις της ασφαλούς επικοινωνίας – ασφαλής επιβεβαίωση, ακεραιότητα, εμπιστευτικότητα, απομακρυσμένη ταυτοποίηση και ανωνυμία – ενώ παράλληλα παρουσιάζονται τα τυπικά προβλήματα που μπορούν να βλάψουν αυτές τις απαιτήσεις, μαζί με πραγματικές λύσεις.

Καθώς κρίσιμη πτυχή της ασφάλειας δικτύων είναι η κρυπτογραφία, συζητούνται επίσης οι σημαντικότεροι κρυπτογραφικοί αλγόριθμοι στη συμμετρική κρυπτογραφία, τον κατακερματισμό, την ασύμμετρη κρυπτογραφία και τη συμφωνία κλειδιών. Αντί να παρουσιάζεται ένα εις βάθος μαθηματικό υπόβαθρο, αυτά τα στοιχεία αναλύονται από την οπτική του προγραμματιστή, δείχνοντας τυπικά παραδείγματα περιπτώσεων χρήσης και πρακτικές σκέψεις σχετικά με τη χρήση της κρυπτογραφίας, όπως οι υποδομές δημοσίου κλειδιού. Εισάγονται πρωτόκολλα ασφαλείας σε πολλές περιοχές της ασφαλούς επικοινωνίας, με εις βάθος συζήτηση των πιο ευρέως χρησιμοποιούμενων οικογενειών πρωτοκόλλων, όπως IPSEC και SSL/TLS.

Συζητούνται τυπικές κρυπτογραφικές ευπάθειες, τόσο σε σχέση με συγκεκριμένους κρυπτογραφικούς αλγορίθμους όσο και με κρυπτογραφικά πρωτόκολλα, όπως BEAST, CRIME, TIME, BREACH, FREAK, Logjam, Padding oracle, Lucky Thirteen, POODLE και παρόμοια, καθώς και η επίθεση χρονισμού RSA. Σε κάθε περίπτωση, περιγράφονται οι πρακτικές επιπτώσεις και οι πιθανές συνέπειες κάθε προβλήματος, και πάλι χωρίς να υπεισέρχονται σε βαθιές μαθηματικές λεπτομέρειες.

Τέλος, δεδομένου ότι η τεχνολογία XML είναι κεντρική για την ανταλλαγή δεδομένων από δικτυακές εφαρμογές, περιγράφονται οι πτυχές ασφάλειας της XML. Αυτό περιλαμβάνει τη χρήση της XML μέσα σε υπηρεσίες ιστού και μηνύματα SOAP, μαζί με μέτρα προστασίας όπως η υπογραφή XML και η κρυπτογράφηση XML – καθώς και αδυναμίες σε αυτά τα μέτρα προστασίας και θέματα ασφάλειας ειδικά για την XML, όπως η έγχυση XML, οι επιθέσεις XML External Entity (XXE), οι βόμβες XML και η έγχυση XPath.

Οι συμμετέχοντες που θα παρακολουθήσουν αυτό το μάθημα θα

• Κατανοήσουν τις βασικές έννοιες της ασφάλειας, της ασφάλειας πληροφορικής και της ασφαλούς κωδικοποίησης
• Κατανοήσουν τις απαιτήσεις της ασφαλούς επικοινωνίας
• Μάθουν για επιθέσεις δικτύου και άμυνες σε διαφορετικά επίπεδα του μοντέλου OSI
• Αποκτήσουν μια πρακτική κατανόηση της κρυπτογραφίας
• Κατανοήσουν τα βασικά πρωτόκολλα ασφαλείας
• Κατανοήσουν ορισμένες πρόσφατες επιθέσεις εναντίον κρυπτοσυστημάτων
• Λάβουν πληροφορίες για ορισμένες πρόσφατες σχετικές ευπάθειες
• Κατανοήσουν τις έννοιες ασφάλειας των υπηρεσιών ιστού
• Λάβουν πηγές και περαιτέρω αναγνώσματα για πρακτικές ασφαλούς κωδικοποίησης

Κοινό

Προγραμματιστές, Επαγγελματίες

Η συγγραφή ασφαλούς κώδικα σε C και C++ απαιτεί αυστηρή άμυνα ενάντια σε κακόβουλη εκμετάλλευση, καταστροφή μνήμης και παρακάμψεις επικύρωσης εισόδου. Το πρόγραμμα εξετάζει μοτίβα ευπαθειών όπως υπερχειλίσεις buffer, χρήση μετά την αποδέσμευση (use-after-free), υπερχειλίσεις ακεραίων και σύγχυση τύπων. Οι συμμετέχοντες εφαρμόζουν οδηγίες ασφαλούς προγραμματισμού, εργαλεία στατικής ανάλυσης και τεχνικές αμυντικού προγραμματισμού για την εξάλειψη αδυναμιών, την επιβολή καθαρισμού εισόδου και την παράδοση ενισχυμένου λογισμικού ανθεκτικού σε κυβερνοεπιθέσεις.

Ακόμη και έμπειροι προγραμματιστές Java δεν κατέχουν σε βάθος τις διάφορες υπηρεσίες ασφαλείας που προσφέρει η Java, και επίσης δεν γνωρίζουν τις διαφορετικές ευπάθειες που σχετίζονται με διαδικτυακές εφαρμογές γραμμένες σε Java.

Το μάθημα – εκτός από την εισαγωγή στα στοιχεία ασφαλείας της Standard Java Edition – ασχολείται με θέματα ασφάλειας της Java Enterprise Edition (JEE) και των υπηρεσιών ιστού. Η συζήτηση συγκεκριμένων υπηρεσιών προηγείται των βασικών αρχών της κρυπτογράφησης και της ασφαλούς επικοινωνίας. Διάφορες ασκήσεις αντιμετωπίζουν δηλωτικές και προγραμματιστικές τεχνικές ασφαλείας στη JEE, ενώ συζητιέται τόσο η ασφάλεια επιπέδου μεταφοράς όσο και η ασφάλεια από άκρο σε άκρο των υπηρεσιών ιστού. Η χρήση όλων των στοιχείων παρουσιάζεται μέσω αρκετών πρακτικών ασκήσεων, όπου οι συμμετέχοντες μπορούν να δοκιμάσουν οι ίδιοι τα συζητούμενα API και εργαλεία.

Το μάθημα εξετάζει και εξηγεί επίσης τα πιο συχνά και σοβαρά προγραμματιστικά σφάλματα της γλώσσας Java και της πλατφόρμας, καθώς και ευπάθειες που σχετίζονται με τον ιστό. Πέρα από τα τυπικά σφάλματα που διαπράττουν οι προγραμματιστές Java, οι εισαγόμενες ευπάθειες ασφαλείας καλύπτουν τόσο ζητήματα ειδικά για τη γλώσσα όσο και προβλήματα που προέρχονται από το περιβάλλον εκτέλεσης. Όλες οι ευπάθειες και οι σχετικές επιθέσεις επιδεικνύονται μέσω εύκολα κατανοητών ασκήσεων, ακολουθούμενες από τις συνιστώμενες οδηγίες κωδικοποίησης και τις πιθανές τεχνικές μετριασμού.

Οι συμμετέχοντες σε αυτό το μάθημα θα

• Κατανοήσουν τις βασικές έννοιες της ασφάλειας, της ασφάλειας πληροφοριακών συστημάτων και της ασφαλούς κωδικοποίησης
• Μάθουν ευπάθειες ιστού πέρα από το OWASP Top Ten και γνωρίσουν πώς να τις αποφεύγουν
• Κατανοήσουν έννοιες ασφάλειας των υπηρεσιών ιστού
• Μάθουν να χρησιμοποιούν διάφορα χαρακτηριστικά ασφαλείας του περιβάλλοντος ανάπτυξης Java
• Αποκτήσουν πρακτική κατανόηση της κρυπτογράφησης
• Κατανοήσουν λύσεις ασφάλειας της Java EE
• Μάθουν για τυπικά σφάλματα κωδικοποίησης και πώς να τα αποφεύγουν
• Ενημερωθούν για κάποιες πρόσφατες ευπάθειες στο πλαίσιο της Java
• Αποκτήσουν πρακτική γνώση στη χρήση εργαλείων ελέγχου ασφαλείας
• Πάρουν πηγές και περαιτέρω αναγνώσεις σχετικά με πρακτικές ασφαλούς κωδικοποίησης

Κοινό

Προγραμματιστές

Σήμερα, είναι διαθέσιμες πολλές γλώσσες προγραμματισμού για τη μεταγλώττιση κώδικα στα πλαίσια .NET και ASP.NET. Το περιβάλλον παρέχει ισχυρά εργαλεία για την ανάπτυξη ασφάλειας, αλλά οι προγραμματιστές πρέπει να γνωρίζουν πώς να εφαρμόζουν τεχνικές προγραμματισμού σε επίπεδο αρχιτεκτονικής και κώδικα, ώστε να υλοποιούν την επιθυμητή λειτουργικότητα ασφάλειας και να αποφεύγουν ευπάθειες ή να περιορίζουν την εκμετάλλευσή τους.

Ο στόχος αυτού του μαθήματος είναι να διδάξει στους προγραμματιστές μέσα από πολυάριθμες πρακτικές ασκήσεις πώς να αποτρέπουν τον μη αξιόπιστο κώδικα από το να εκτελεί προνομιακές ενέργειες, να προστατεύουν πόρους μέσω ισχυρής ταυτοποίησης και εξουσιοδότησης, να παρέχουν κλήσεις απομακρυσμένων διαδικασιών, να διαχειρίζονται συνεδρίες, να εισάγουν διαφορετικές υλοποιήσεις για συγκεκριμένες λειτουργίες, και πολλά άλλα.

Η εισαγωγή στις διάφορες ευπάθειες ξεκινά με την παρουσίαση ορισμένων τυπικών προβλημάτων προγραμματισμού που προκύπτουν όταν χρησιμοποιείται το .NET, ενώ η συζήτηση των ευπαθειών του ASP.NET ασχολείται επίσης με διάφορες ρυθμίσεις περιβάλλοντος και τις επιπτώσεις τους. Τέλος, το θέμα των ειδικών ευπαθειών του ASP.NET δεν αντιμετωπίζει μόνο ορισμένες γενικές προκλήσεις ασφάλειας διαδικτυακών εφαρμογών, αλλά και ειδικά ζητήματα και μεθόδους επίθεσης, όπως η επίθεση στο ViewState ή οι επιθέσεις τερματισμού συμβολοσειράς.

Οι συμμετέχοντες που θα παρακολουθήσουν αυτό το μάθημα θα

• Κατανοήσουν τις βασικές έννοιες ασφάλειας, ασφάλειας πληροφοριακών συστημάτων και ασφαλούς κώδικα
• Μάθουν τις ευπάθειες διαδικτύου πέρα από το OWASP Top Ten και να γνωρίζουν πώς να τις αποφύγουν
• Μάθουν να χρησιμοποιούν διάφορα χαρακτηριστικά ασφάλειας του περιβάλλοντος ανάπτυξης .NET
• Αποκτήσουν πρακτική γνώση στη χρήση εργαλείων δοκιμών ασφάλειας
• Μάθουν για τα τυπικά λάθη κώδικα και πώς να τα αποφύγουν
• Ενημερωθούν για ορισμένες πρόσφατες ευπάθειες σε .NET και ASP.NET
• Λάβουν πηγές και περαιτέρω αναγνώσεις για πρακτικές ασφαλούς κώδικα

Κοινό

Προγραμματιστές

Το μάθημα παρέχει τις απαραίτητες δεξιότητες στους προγραμματιστές PHP προκειμένου να καταστήσουν τις εφαρμογές τους ανθεκτικές στις σύγχρονες επιθέσεις μέσω του Διαδικτύου. Οι ευπάθειες ιστού συζητούνται μέσω παραδειγμάτων βασισμένων στην PHP, ξεπερνώντας τις δέκα κορυφαίες του OWASP, αντιμετωπίζοντας διάφορες επιθέσεις έγχυσης, ενέσεις σεναρίων, επιθέσεις κατά της διαχείρισης συνεδριών της PHP, μη ασφαλείς άμεσες αναφορές αντικειμένων, ζητήματα με τη μεταφόρτωση αρχείων, και πολλά άλλα. Οι ευπάθειες που σχετίζονται με την PHP εισάγονται ομαδοποιημένες στους τυπικούς τύπους ευπαθειών όπως η έλλειψη ή ακατάλληλη επικύρωση εισόδου, ο λανθασμένος χειρισμός σφαλμάτων και εξαιρέσεων, η ακατάλληλη χρήση χαρακτηριστικών ασφαλείας και τα προβλήματα που σχετίζονται με τον χρόνο και την κατάσταση. Για αυτά τα τελευταία συζητάμε επιθέσεις όπως η παράκαμψη του open_basedir, η άρνηση υπηρεσίας μέσω του magic float ή η επίθεση σύγκρουσης πίνακα κατακερματισμού. Σε όλες τις περιπτώσεις οι συμμετέχοντες θα εξοικειωθούν με τις σημαντικότερες τεχνικές και λειτουργίες που πρέπει να χρησιμοποιηθούν για τον μετριασμό των κινδύνων που αναφέρονται.

Ιδιαίτερη έμφαση δίνεται στην ασφάλεια από την πλευρά του πελάτη, αντιμετωπίζοντας ζητήματα ασφαλείας των JavaScript, Ajax και HTML5. Εισάγονται διάφορες επεκτάσεις ασφαλείας στην PHP όπως οι hash, mcrypt και OpenSSL για κρυπτογραφία, ή οι Ctype, ext/filter και HTML Purifier για επικύρωση εισόδου. Οι βέλτιστες πρακτικές σκλήρυνσης παρέχονται σε σχέση με τη διαμόρφωση της PHP (ρύθμιση php.ini), του Apache και του διακομιστή γενικότερα. Τέλος, γίνεται επισκόπηση διαφόρων εργαλείων και τεχνικών δοκιμών ασφαλείας που μπορούν να χρησιμοποιήσουν οι προγραμματιστές και οι ελεγκτές, συμπεριλαμβανομένων σαρωτών ασφαλείας, δοκιμών διείσδυσης και πακέτων εκμεταλλεύσεων, ανιχνευτών, διακομιστών μεσολάβησης, εργαλείων fuzzing και αναλυτών στατικού πηγαίου κώδικα.

Τόσο η εισαγωγή των ευπαθειών όσο και οι πρακτικές διαμόρφωσης υποστηρίζονται από έναν αριθμό πρακτικών ασκήσεων που καταδεικνύουν τις συνέπειες των επιτυχημένων επιθέσεων, δείχνοντας πώς να εφαρμοστούν τεχνικές μετριασμού και παρουσιάζοντας τη χρήση διαφόρων επεκτάσεων και εργαλείων.

Οι συμμετέχοντες που παρακολουθούν αυτό το μάθημα θα

• κατανοήσουν τις βασικές έννοιες της ασφάλειας, της ασφάλειας πληροφορικής και του ασφαλούς προγραμματισμού
• μάθουν τις ευπάθειες ιστού πέρα από τις δέκα κορυφαίες του OWASP και πώς να τις αποφύγουν
• μάθουν τις ευπάθειες από την πλευρά του πελάτη και τις πρακτικές ασφαλούς προγραμματισμού
• αποκτήσουν πρακτική κατανόηση της κρυπτογραφίας
• μάθουν να χρησιμοποιούν διάφορα χαρακτηριστικά ασφαλείας της PHP
• μάθουν για τα τυπικά λάθη προγραμματισμού και πώς να τα αποφύγουν
• ενημερωθούν για πρόσφατες ευπάθειες του πλαισίου PHP
• αποκτήσουν πρακτικές γνώσεις στη χρήση εργαλείων δοκιμών ασφαλείας
• λάβουν πηγές και περαιτέρω αναγνώσεις για πρακτικές ασφαλούς προγραμματισμού

Ακροατήριο

Προγραμματιστές

Η συνδυασμένη εκπαίδευση SDL Core προσφέρει μια εις βάθος κατανόηση του ασφαλούς σχεδιασμού, ανάπτυξης και ελέγχου λογισμικού μέσω του Microsoft Secure Development Lifecycle (SDL). Παρέχει μια επισκόπηση επιπέδου 100 των βασικών δομικών στοιχείων του SDL, ακολουθούμενη από τεχνικές σχεδιασμού που εφαρμόζονται για την ανίχνευση και διόρθωση ελαττωμάτων στα αρχικά στάδια της διαδικασίας ανάπτυξης.

Ασχολούμενο με τη φάση ανάπτυξης, το μάθημα παρέχει μια επισκόπηση των τυπικών σφαλμάτων προγραμματισμού που σχετίζονται με την ασφάλεια, τόσο σε διαχειριζόμενο όσο και σε μη διαχειριζόμενο κώδικα. Παρουσιάζονται μέθοδοι επίθεσης για τις συζητούμενες ευπάθειες, μαζί με τις αντίστοιχες τεχνικές μετριασμού, όλα εξηγούνται μέσα από μια σειρά πρακτικών ασκήσεων που προσφέρουν διασκεδαστική εμπειρία hacking στους συμμετέχοντες. Η εισαγωγή στις διάφορες μεθόδους ελέγχου ασφάλειας ακολουθείται από την επίδειξη της αποτελεσματικότητας διαφόρων εργαλείων ελέγχου. Οι συμμετέχοντες μπορούν να κατανοήσουν τη λειτουργία αυτών των εργαλείων μέσω μιας σειράς πρακτικών ασκήσεων, εφαρμόζοντας τα εργαλεία στον ήδη συζητηθέντα ευάλωτο κώδικα.

Οι συμμετέχοντες σε αυτό το μάθημα θα

Κατανοήσουν βασικές έννοιες ασφάλειας, ασφάλειας πληροφοριακών συστημάτων και ασφαλούς προγραμματισμού

Γνωρίσουν τα βασικά βήματα του Microsoft Secure Development Lifecycle

Μάθουν ασφαλείς πρακτικές σχεδιασμού και ανάπτυξης

Μάθουν για τις αρχές ασφαλούς υλοποίησης

Κατανοήσουν τη μεθοδολογία ελέγχου ασφάλειας

• Αποκτήσουν πηγές και πρόσθετη βιβλιογραφία για πρακτικές ασφαλούς προγραμματισμού

Κοινό

Προγραμματιστές, Διευθυντές

Σε αυτό το ζωντανό μάθημα με εκπαιδευτή στο Ελλάδα, οι συμμετέχοντες θα μάθουν πώς να διαμορφώσουν την κατάλληλη στρατηγική ασφάλειας για την αντιμετώπιση της πρόκλησης ασφάλειας του DevOps.

Το EC-Council Certified DevSecOps Engineer (ECDE) είναι ένα πρακτικό μάθημα σχεδιασμένο για να εξοπλίσει επαγγελματίες με τις δεξιότητες ενσωμάτωσης της ασφάλειας σε όλο τον κύκλο ζωής του DevOps, επιτρέποντας την ασφαλή ανάπτυξη λογισμικού από τον σχεδιασμό έως την παράδοση.

Αυτή η ζωντανή εκπαίδευση με εισηγητή (online ή δια ζώσης) απευθύνεται σε επαγγελματίες λογισμικού και DevOps μεσαίου επιπέδου που επιθυμούν να ενσωματώσουν πρακτικές ασφάλειας στις γραμμές CI/CD, εξασφαλίζοντας ασφαλή και συμμορφούμενη παράδοση κώδικα.

Με την ολοκλήρωση αυτής της εκπαίδευσης, οι συμμετέχοντες θα είναι σε θέση:

• Κατανόηση των αρχών και πρακτικών του DevSecOps.
• Διασφάλιση κάθε σταδίου της γραμμής CI/CD με χρήση αυτοματοποιημένων εργαλείων.
• Εφαρμογή πρακτικών ασφαλούς κωδικοποίησης και σάρωση ευπαθειών.
• Προετοιμασία για την πιστοποίηση ECDE με πρακτικά εργαστήρια και ανασκόπηση.

Μορφή του Μαθήματος

• Διαδραστική διάλεξη και συζήτηση.
• Πρακτική χρήση εργαλείων DevSecOps σε προσομοιωμένες γραμμές.
• Καθοδηγούμενες ασκήσεις εστιασμένες στην ασφαλή ανάπτυξη και εγκατάσταση.

Επιλογές Προσαρμογής Μαθήματος

• Για να ζητήσετε προσαρμοσμένη εκπαίδευση για αυτό το μάθημα με βάση τις ροές εργασίας ή την εργαλειοθήκη της ομάδας σας, παρακαλούμε επικοινωνήστε μαζί μας για να το κανονίσουμε.

Αυτό το μάθημα στην Ελλάδα στοχεύει να βοηθήσει στα εξής:

1. Να βοηθήσει τους προγραμματιστές να κατακτήσουν τις τεχνικές σύνταξης ασφαλούς κώδικα
2. Να βοηθήσει τους ελεγκτές λογισμικού να ελέγχουν την ασφάλεια της εφαρμογής πριν από τη δημοσίευσή της στο περιβάλλον παραγωγής
3. Να βοηθήσει τους αρχιτέκτονες λογισμικού να κατανοήσουν τους κινδύνους που περιβάλλουν τις εφαρμογές
4. Να βοηθήσει τους επικεφαλής ομάδων να θέσουν τις γραμμές βάσης ασφαλείας για τους προγραμματιστές
5. Να βοηθήσει τους διαχειριστές ιστού να ρυθμίσουν τους διακομιστές για την αποφυγή λανθασμένων ρυθμίσεων

Αυτό το μάθημα καλύπτει τις έννοιες και τις αρχές της ασφαλούς κωδικοποίησης με Java μέσω της μεθοδολογίας δοκιμών του Open Web Application Security Project (OWASP). Το Open Web Application Security Project είναι μια διαδικτυακή κοινότητα που δημιουργεί ελεύθερα διαθέσιμα άρθρα, μεθοδολογίες, τεκμηρίωση, εργαλεία και τεχνολογίες στον τομέα της ασφάλειας διαδικτυακών εφαρμογών.

Αυτό το μάθημα καλύπτει τις έννοιες και τις αρχές ασφαλούς κώδικα με ASP.net μέσω της μεθοδολογίας δοκιμών του Open Web Application Security Project (OWASP). Το OWASP είναι μια διαδικτυακή κοινότητα που δημιουργεί ελεύθερα διαθέσιμα άρθρα, μεθοδολογίες, τεκμηρίωση, εργαλεία και τεχνολογίες στον τομέα της ασφάλειας διαδικτυακών εφαρμογών. 

Αυτό το μάθημα εξερευνά τις δυνατότητες ασφαλείας του .NET Framework και τον τρόπο ασφάλισης των διαδικτυακών εφαρμογών.