Owasp - En çok karşılaşılan 10 web güvenlik problemi ( 2007 güncellemesi )

Owasp -the free and open application security community- web uygulamalarında en çok karşılaşılan 10 güvenlik problemini ele almış.

İçerikte saldırı türleri, örnek saldırılar ve önlemler ele alınmış. Bu adresten word veya .PDF formatında indirip inceleyebilirsiniz.

Listede benim dikkatimi çeken nokta, "insecure cryptographic storage" bölümünde md5 ve sha1'in zayıf algoritmalar olarak tanımlanmış olması.

İlgili cümle tam olarak şöyle; " Do not use weak algorithms, such as md5, sha1 "

Mail listesinden gelen orjinal metin;

Hi there, OWASP is pleased to announce the immediate availability of the OWASP Top 10 2007 release candidate 1. You can download it in Word and PDF form here:

http://www.owasp.org/index.php/Top_10_2007
The public comments phase opens today and will continue until February 28, 2007 for all and sundry. We have collected some feedback already, which will be incorporated into RC2 - such as:

* CWE links to particular weaknesses for every section
* Links to Suhosin and HardenedPHP for one of the sections

If you have any feedback or changes, please either join the OWASP Top 10 mail list, or mail me offline if you cannot work publicly.

http://lists.owasp.org/mailman/listinfo/owasp-topten
Thanks,
Andrew van der Stock
Executive Director, OWASP

Görüşler

anonim
yaklaşık 18 yıl önce

Sha1 i bilmem ama internette bir sürü Md5 database i bulunduğundan, yukarıda bahsedilen uyarı bence doğrudur..

Görüş belirtmek için giriş yapın...

İlgili Yazılar

CIA Analiz Yapmayı Bir Türk'ten Öğreniyor

FZ
22 Eylül 2005, 1 dakika okuma süresi

Amerikan Merkezi Haberalma Teşkilatı'nın (CIA) dünyaca ünlü analizcileri, bilgi toplama ve bilgiyi değerlendirme konularında bir Türk'ün geliştirdiği yöntemi kullanıyorlar. Cenk Gazen adlı Türk bilgisayar bilimcisinin iki arkadaşıyla geliştirdiği Argus Projesi, terörizmle savaşta çok önemli olarak görülüyor.

Gmail Kırıldı

sonereker
22 Kasım 2005, 1 dakika okuma süresi

Buradan orjinal dökümana ulaşılabilir.

Google bu durumun muhtemel saldırgana bilgi veren kullanıcılar için geçerli olduğunu savundu. Açık kapatıldı, Google bu durum üzerine resmi bir açıklama yapmadı ve Full-disclosure'da da aynı sitede yakında yayınlanacak olan --tüm online banka sistemlerinin barındırdığı- benzer türde bir açığın duyurusu yapıldı :)

Güvenlik uzmanlarına göre kullanılan sistemlerin %98'inde benzer türde rapor edilmemiş açıklar mevcut.

BugTraq Tarayıcı Testi

Soulblighter
20 Ekim 2004, 2 dakika okuma süresi

SecurityFocus sitesinde Michal Zalewski tarafından gerçekleştirilmiş bir tarayıcı testi var. Ben de bu testin çevirisini (özetle) burada sunuyor ve yorumlarınızı merakla bekliyorum :)

Çok kullanılan web tarayıcılarının potansiyel saldırılara ve DoS ataklarına ne kadar dayanabildiklerini ölçmek istedim. Bu amaçla kullanışlı bir araç hazırladım.

Virüslerin 20 Yıllık Tarihi

FZ
11 Kasım 2003, 1 dakika okuma süresi

Bu hafta bilgisayar virüslerinin 20. yıldönümü. Basit rahatsızlık veren küçük yazılımlardan tutun ülkelerarası ağları yavaşlatan ve televizyonlara çıkan, en ilgisiz insanların dahi ilgi alanına girmeye başlayan pek çok virüs söz konusu.

Belgelendirilmiş ilk virüs ABD´de doktora eğitimi esnasında bu tip bir çalıştırma gerçekleştiren Fred Cohen tarafından yazılmış durumda.

Şu anda dünya üzerinde yaklaşık 60,000 farklı virüs var.

Cohen o dönemde kullanılan VAX bilgisayarları üzerindeki VD isimli bir grafik programına geliştirdiği virüsü yerleştirmiş ve sistemdeki diğer yazılımlara nasıl bulaşılabileceğini pratik olarak göstermişti. Cohen, gerçekleştirdiği çalışmayı bir güvenlik seminerinde sunduğunda takvimler 10 Kasım 1983 tarihini gösteriyordu.

Tehlikeli Modüllerin Tespiti

FZ
19 Haziran 2003, 1 dakika okuma süresi

Tacettin Karadeniz´in GNU/Linux sistemlere sızabilecek tehlikeli ve kötü niyetli modüllerin tespit edilmesini konu alan yazısı ileriseviye.org sitesinde yayına girmiştir.