Alati i metodologije za bolju sigurnost Ruby on Rails aplikacija

Svi želimo brzo pretočiti našu super ideju u funkcionalnu web aplikaciju. Ruby on Rails framework nam u tome uvelike pomaže. Kako bi kvaliteta naše aplikacije bila zadovoljavajuća, osim samoga koda aplikacije, moramo pisati i testove koristeći TDD metodologiju. Rails nam u tome uvelike pomaže. A što je sa sigurnošću naše web aplikacije? U ovom predavanju ćemo predstaviti što nam Rails pruža "direktno iz kutije" u vezi sigurnosti, kao i dodatne alate koji našu aplikaciju u kratkom vremenu mogu učiniti puno sigurnijom.

Transcript

1. Alati i metodologije za bolju sigurnost Ruby on Rails aplikacija karlo.smid@tentamen.hr
2. OWASP Top 10 A1 - Injection A2 - Broken authentication and session management A3 - Cross site scripting (XSS) A4 - Insecure direct object references A5 - Security misconfigurations
3. OWASP Top 10 A6 - Sensitive data exposure A7 - Missing functional level access control A8 - Cross site request forgery (CSRF) A9 - Using components with known vulnerabilities A10 - Unvalidated redirects and forwards
4. OWASP Top 10 niti je A1 najkritičnija kategorija niti je A10 najmanje važna kategorija
5. Open source alati brakeman bundler audit chrome dev tools curl brain: http://guides.rubyonrails.org/security.html http://rails-sqli.org/
6. brakeman pozitivno sigurnosna analiza Rails koda bazirna na PROŠLIM iskustvima pomaže kod OWASP kategorije: A1, A3, A7, A10 brzina
7. brakeman negativno false positives nepoznavanje nepoznatog ništa bez repliciranja problema
8. bundler audit koji gem sadrži sigurnosne propuste pomaže kod OWASP kategorije: A9
9. bundler audit negativno nepoznavanje nepoznatog
10. Chrome dev tools analiza http prometa priprema parametre za curl
11. curl što ako promijenim ovaj http parametar? pomaže kod OWASP kategorija: A2, A4, A6
12. mozak razumjeti smjernice: http://guides.rubyonrails.org/security.html http://rails-sqli.org/
13. mozak negativno umor pogreška neznanje
14. demo
15. pitanja