Owasp - En çok karşılaşılan 10 web güvenlik problemi ( 2007 güncellemesi )

0
Yns_
Owasp -the free and open application security community- web uygulamalarında en çok karşılaşılan 10 güvenlik problemini ele almış.

İçerikte saldırı türleri, örnek saldırılar ve önlemler ele alınmış. Bu adresten word veya .PDF formatında indirip inceleyebilirsiniz.
Listede benim dikkatimi çeken nokta, "insecure cryptographic storage" bölümünde md5 ve sha1'in zayıf algoritmalar olarak tanımlanmış olması.

İlgili cümle tam olarak şöyle; " Do not use weak algorithms, such as md5, sha1 "

Mail listesinden gelen orjinal metin;

Hi there, OWASP is pleased to announce the immediate availability of the OWASP Top 10 2007 release candidate 1. You can download it in Word and PDF form here:

http://www.owasp.org/index.php/Top_10_2007
The public comments phase opens today and will continue until February 28, 2007 for all and sundry. We have collected some feedback already, which will be incorporated into RC2 - such as:

* CWE links to particular weaknesses for every section
* Links to Suhosin and HardenedPHP for one of the sections

If you have any feedback or changes, please either join the OWASP Top 10 mail list, or mail me offline if you cannot work publicly.

http://lists.owasp.org/mailman/listinfo/owasp-topten
Thanks,
Andrew van der Stock
Executive Director, OWASP

Görüşler

0
anonim
Sha1 i bilmem ama internette bir sürü Md5 database i bulunduğundan, yukarıda bahsedilen uyarı bence doğrudur..
Görüş belirtmek için giriş yapın...

İlgili Yazılar

Ulusal Kriptoloji Enstitüsü Stajyer Arıyor

FZ

TÜBİTAK bünyesindeki Ulusal Elektronik ve Kriptoloji Araştırma Enstitüsü bu yaz bünyesinde görevlendirmek üzere en az 1 ay çalışabilecek stajyer öğrenciler arıyor. Başvuracak adayların aşağıdaki bölümlerden birinden olmaları isteniyor:
  • Elektrik Mühendisliği
  • Elektronik Mühendisliği
  • Bilgisayar Mühendisliği
  • Dilbilim

Bir efsane: Phrack

sundance

Hatırlıyorum da ilk Phrack Magazine'i okuduğumda Amiga kulanıyordum. Elemanın teki BlueBox kullanarak yabancı bir BBS`ten indirmişti (Jason of Bronx) Okudum ve bayıldım.

Phrack taaa 1985`te başlamış, temel olarak telefon sistemlerinin özelliklerini keşfetmeyi ve bu bilgileri paylaşmayı hedef edinmiş bir underground dergi. Sadece dijital ortamda dağıtılıyor, taa 1985'te akustik kuplör kullanan (300 bps) BBS`lerden beri...

Fazlamesai'ye soralım: Peki bu durumda ne yaparsınız?

sundance

27 Aralık tarihinde ortaya çıkan Windows Meta File Exploit bir fenomen halini almış durumda. Windows 95'den bu yana bütün sürümlerde bulunduğu tespit edilen açık, Internet Explorer üstünden gösterilen imajlar vasıtasıyla kod çalıştırılmasını sağlıyor ve en çok Windows XP'leri etkiliyor.

Microsoft tarafından yapılan açıklamada resmi yamanın 10 Ocak'tan önce yayınlanamayacağının belirtilmesi çok ciddi endişeler uyandırıyor. Bazı uzmanlar gayri resmi bir yamayı önerirken, Mozilla Firefox kullanıldığı takdirde sözkonusu kod çalıştırılmadan önce kullanıcının onayının istendiği ve bunun geçici bir önlem olabileceği belirtiliyor.

Tehlikeli Modüllerin Tespiti

FZ

Tacettin Karadeniz´in GNU/Linux sistemlere sızabilecek tehlikeli ve kötü niyetli modüllerin tespit edilmesini konu alan yazısı ileriseviye.org sitesinde yayına girmiştir.

Akustik Şifre Analizi: Mikroişlemcinizin Çıkardığı Sesler ve Potansiyel Saldırı

FZ

Bilgisayarınızın kalbini dinlemeyi denediniz mi? Acaba GnuPG ile bir şeyleri şifrelerken çıkan ``sesler´´ olası bir saldırgana bazı ipuçları verir mi? Mikroişlemciyi dinlemek mi!? O da ne! diyenlerden misiniz?

O halde Adi Shamir ve Eran Tromer´in Acoustic Cryptanalysis başlıklı bu ilginç çalışması ufkunuzu genişletebilir.