OWASP Top 10 2025 Κομμάτι εκπαίδευσης

A01:2025 - Καταστροφή ελέγχου πρόσβασης
A02:2025 - Λανθασμένη διαμόρφωση ασφαλείας
A03:2025 - Αποτυχίες αλυσίδας εφοδιασμού λογισμικού
A04:2025 - Κρυπτογραφικές αποτυχίες
A05:2025 - Είσοδος (Injection)
A06:2025 - Ασφαλής σχεδίαση
A07:2025 - Αποτυχίες διαπιστώσεων ταυτότητας
A8:2025 - Αποτυχίες ακεραιότητας λογισμικού ή δεδομένων
A09:2025 - Αποτυχίες ημερολόγησης και ειδοποιήσεων ασφαλείας
A10:2025 - Λανθασμένη διαχείριση αιρετών συνθηκών

A01:2025 Καταστροφή ελέγχου πρόσβασης - Ο έλεγχος πρόσβασης επιβάλλει πολιτικές έτσι ώστε οι χρήστες να μην μπορούν να ενεργούν εκτός των προβλεπόμενων δικαιωμάτων τους. Οι αποτυχίες οδηγούν συνήθως σε μη εξουσιοδοτημένη αποκάλυψη, τροποποίηση ή καταστροφή δεδομένων, ή στην εκτέλεση επιχειρησιακών λειτουργιών εκτός των ορίων του χρήστη.

A02:2025 Λανθασμένη διαμόρφωση ασφαλείας - Η λανθασμένη διαμόρφωση ασφαλείας προκύπτει όταν ένα σύστημα, μια εφαρμογή ή μια υπηρεσία cloud διαμορφώνεται λανθασμένα από πλευράς ασφαλείας, δημιουργώντας ευπάθειες.

A03:2025 Αποτυχίες αλυσίδας εφοδιασμού λογισμικού - Οι αποτυχίες αλυσίδας εφοδιασμού λογισμικού είναι σφάλματα ή άλλες παραβιάσεις στη διαδικασία κατασκευής, διανομής ή ενημέρωσης λογισμικού. Συχνά οφείλονται σε ευπάθειες ή κακόβουλες αλλαγές σε κώδικα τρίτων, εργαλεία ή άλλες εξαρτήσεις στις οποίες στηρίζεται το σύστημα.

A04:2025 Κρυπτογραφικές αποτυχίες - Γενικά, όλα τα δεδομένα σε μεταφορά πρέπει να κρυπτογραφούνται στο στρώμα μεταφοράς (στρώμα OSI 4). Προηγούμενα εμπόδια, όπως οι επιδόσεις της CPU και η διαχείριση ιδιωτικών κλειδιών/παραγώγιμα, διαχειρίζονται πλέον από επεξεργαστές με εντολές σχεδιασμένες για επιτάχυνση της κρυπτογράφησης (π.χ. υποστήριξη AES) και τη διευκόλυνση της διαχείρισης ιδιωτικών κλειδιών και πιστοποιητικών μέσω υπηρεσιών όπως το LetsEncrypt.org, με τους μεγάλους πάροχους cloud να προσφέρουν ακόμη πιο στενά ενσωματωμένες υπηρεσίες διαχείρισης πιστοποιητικών για τις συγκεκριμένες πλατφόρμες τους. Πέρα από την ασφάλεια του στρώματος μεταφοράς, είναι σημαντικό να καθοριστεί ποια δεδομένα απαιτούν κρυπτογράφηση σε κατάσταση ηρεμίας και ποια δεδομένα απαιτούν επιπλέον κρυπτογράφηση κατά τη μεταφορά (στο στρώμα εφαρμογής, στρώμα OSI 7). Για παράδειγμα, κωδικοί, αριθμοί πιστωτικών καρτών, ιατρικά δεδομένα, προσωπικές πληροφορίες και επιχειρησιακά μυστικά απαιτούν πρόσθετη προστασία, ιδιαίτερα αν τα δεδομένα υπάγονται σε νόμους απορρήτου, π.χ. τον Γενικό Κανονισμό Προστασίας Δεδομένων (GDPR) της ΕΕ, ή κανονισμούς όπως το Πρότυπο Ασφάλειας Δεδομένων PCI (PCI DSS).

A05:2025 Είσοδος (Injection) - Μια ευπάθεια εισαγωγής (injection) είναι ένα σφάλμα συστήματος που επιτρέπει σε έναν εισβολέα να εισάγει κακόβουλο κώδικα ή εντολές (όπως κώδικα SQL ή shell) στα πεδία εισαγωγής ενός προγράμματος, παραπλανώντας το σύστημα να εκτελέσει τον κώδικα ή τις εντολές σαν να αποτελούν μέρος του συστήματος. Αυτό μπορεί να οδηγήσει σε πραγματικά σοβαρές συνέπειες.

A06:2025 Ασφαλής σχεδίαση - Η ασφαλής σχεδίαση είναι μια ευρύτερη κατηγορία που περιλαμβάνει διάφορες αδυναμίες, εκφραζόμενες ως «έλλειψη ή ανεπαρκής σχεδίαση ελέγχου». Η ασφαλής σχεδίαση δεν είναι η πηγή όλων των άλλων κατηγοριών κινδύνου Top Ten. Συνοψίζοντας, υπάρχει διαφορά μεταξύ ασφαλούς σχεδίασης και ασφαλούς υλοποίησης. Δistinguerons (διαχωρίζουμε) μεταξύ σφαλμάτων σχεδίασης και σφαλμάτων υλοποίησης για έναν λόγο: έχουν διαφορετικές ρίζες, συμβαίνουν σε διαφορετικά χρονικά σημεία της διαδικασίας ανάπτυξης και έχουν διαφορετικές μεθόδους διόρθωσης. Μια ασφαλής σχεδίαση μπορεί να έχει σφάλματα υλοποίησης που οδηγούν σε ευπάθειες που μπορούν να εκμεταλλευτούν. Μια ασφαλής σχεδίαση δεν μπορεί να διορθωθεί από μια τέλεια υλοποίηση, καθώς τα απαιτούμενα μέτρα ασφαλείας δεν δημιουργήθηκαν ποτέ για την άμυνα κατά συγκεκριμένων επιθέσεων. Ένας από τους παράγοντες που συμβάλλουν στην ασφαλής σχεδίαση είναι η έλλειψη προφίλ επιχειρησιακού κινδύνου ενδογενή στο λογισμικό ή το σύστημα που αναπτύσσεται και, κατ' επέκταση, η αποτυχία να καθοριστεί το επίπεδο σχεδίασης ασφαλείας που απαιτείται.

A07:2025 Αποτυχίες διαπιστώσεων ταυτότητας - Όταν ένας εισβολέας είναι σε θέση να παραπλανήσει ένα σύστημα ώστε να αναγνωρίζει έναν άκυρο ή λανθασμένο χρήστη ως νόμιμο, υπάρχει αυτή η ευπάθεια.

A08:2025 Αποτυχίες ακεραιότητας λογισμικού ή δεδομένων - Οι αποτυχίες ακεραιότητας λογισμικού και δεδομένων σχετίζονται με κώδικα και υποδομή που δεν προστατεύουν από την επεξεργασία μη έγκυρου ή ανεπίσητου κώδικα ή δεδομένων ως αξιόπιστων και έγκυρων. Ένα παράδειγμα αυτού είναι όταν μια εφαρμογή στηρίζεται σε προσθήκες, βιβλιοθήκες ή μονάδες από ανεπίσημες πηγές, αποθετήρια και δικτύα διανομής περιεχομένου (CDN). Ένα ασφαλές pipeline CI/CD χωρίς ελέγχους ακεραιότητας λογισμικού κατά την κατανάλωση και παροχή μπορεί να εισάγει πιθανότητα μη εξουσιοδοτημένης πρόσβασης, ασφαλούς ή κακόβουλου κώδικα ή παραβίασης συστήματος. Ένα άλλο παράδειγμα για αυτό είναι ένα CI/CD που τραβά κώδικα ή τεχνουργήματα από ανεπίσημες τοποθεσίες και/ή δεν τα επιβεβαιώνει πριν από τη χρήση (με έλεγχο υπογραφής ή παρόμοιο μηχανισμό).

A09:2025 Αποτυχίες ημερολόγησης & ειδοποιήσεων ασφαλείας - Χωρίς ημερολόγηση και παρακολούθηση, οι επιθέσεις και οι παραβιάσεις δεν μπορούν να εντοπιστούν, και χωρίς ειδοποιήσεις είναι بسیار δύσκολο να ανταποκριθεί κανείς γρήγορα και αποτελεσματικά κατά μιας περιόδου ασφαλείας. Η ανεπαρκής ημερολόγηση, συνεχής παρακολούθηση, ανίχνευση και ειδοποίηση για την ενεργοποίηση ενεργών απαντήσεων συμβαίνει οποιαδήποτε στιγμή

A10:2025 Λανθασμένη διαχείριση αιρετών συνθηκών - Η λανθασμένη διαχείριση αιρετών συνθηκών στο λογισμικό συμβαίνει όταν τα προγράμματα αποτυγχάνουν να αποτρέψουν, να εντοπίσουν και να ανταποκριθούν σε ασυνήθιστες και απρόβλεπτες καταστάσεις, με αποτέλεσμα κρούσεις, ανεξάρτητες συμπεριφορές και μερικές φορές ευπάθειες. Αυτό μπορεί να περιλαμβάνει μία ή περισσότερες από τις παρακάτω 3 αποτυχίες: η εφαρμογή δεν αποτρέπει την εμφάνιση μιας ασυνήθιστης κατάστασης, δεν αναγνωρίζει την κατάσταση κατά τη διάρκεια της εμφάνισής της, και/ή ανταποκρίνεται κακά ή καθόλου στην κατάσταση μετά από αυτήν.

Θα συζητήσουμε και θα παρουσιάσουμε πρακτικές πτυχές των παρακάτω:

Καταστροφή ελέγχου πρόσβασης
- Πρακτικά παραδείγματα καταστροφής ελέγχου πρόσβασης
- Ασφαλής έλεγχος πρόσβασης και καλύτερες πρακτικές

Λανθασμένη διαμόρφωση ασφαλείας
- Παραδείγματα πραγματικού κόσμου λανθασμένων διαμορφώσεων
- Βήματα για την αποφυγή λανθασμένων διαμορφώσεων, συμπεριλαμβανομένων εργαλείων διαχείρισης διαμόρφωσης και αυτοματοποίησης

Κρυπτογραφικές αποτυχίες
- Λεπτομερής ανάλυση κρυπτογραφικών αποτυχιών, όπως αδύναμοι κρυπτογραφικοί αλγόριθμοι ή εσφαλμένη διαχείριση κλειδιών
- Σημασία ισχυρών κρυπτογραφικών μηχανισμών, ασφαλών πρωτοκόλλων (SSL/TLS) και παραδείγματα σύγχρονης κρυπτογραφίας στην ασφάλεια web

Επιθέσεις εισαγωγής (Injection)
- Λεπτομερής ανάλυση εισαγωγών SQL, NoSQL, OS και LDAP
- Τεχνικές μετριασμού χρησιμοποιώντας προετοιμασμένες δηλώσεις, παραμετροποιημένες ερωτήσεις και απόφυση εισαγωγών

Ασφαλής σχεδίαση
- Θα εξερευνήσουμε σφάλματα σχεδίασης που μπορούν να οδηγήσουν σε ευπάθειες, όπως η εσφαλμένη επιβεβαίωση εισαγωγής
- Θα μελετήσουμε στρατηγικές για ασφαλή αρχιτεκτονική και αρχές ασφαλούς σχεδίασης

Αποτυχίες διαπιστώσεων ταυτότητας
- Κοινά ζητήματα διαπιστώσεων ταυτότητας
- Στρατηγικές ασφαλούς διαπίστευσης ταυτότητας, όπως πολυπαραγοντική διαπίστευση ταυτότητας και σωστή διαχείριση συνεδριών

Αποτυχίες ακεραιότητας λογισμικού και δεδομένων
- Εστίαση σε ζητήματα όπως ανεπίσημες ενημερώσεις λογισμικού και παραμόρφωση δεδομένων
- Ασφαλής μηχανισμός ενημέρωσης και έλεγχοι ακεραιότητας δεδομένων

Αποτυχίες ημερολόγησης και παρακολούθησης ασφαλείας
- Σημασία της ημερολόγησης πληροφοριών σχετικών με την ασφάλεια και της παρακολούθησης για ανιχνεύσιμες δραστηριότητες
- Εργαλεία και πρακτικές για σωστή ημερολόγηση και παρακολούθηση σε πραγματικό χρόνο για τον έγκυρο εντοπισμό παραβιάσεων