Les codeurs conquièrent la sécurité : Série "Partager et apprendre" - Exposition des données sensibles
L'exposition de données sensibles est à l'origine de certaines des violations de données les plus médiatisées et les plus importantes de ces dernières années, comme la violation catastrophique de Marriott, où plus de 300 millions de dossiers de clients ont été volés, et 150 millions d'autres lors de l'attaque d'Equifax. Un niveau moyen de sophistication est requis, et parfois un équipement spécial de la part de l'attaquant, mais il n'est pas trop difficile pour un pirate de réussir dans de nombreux cas, et il existe des outils pour automatiser certaines des fonctions d'attaque.
L'exposition de données sensibles se produit lorsque des informations qui ne sont destinées qu'à un usage autorisé sont exposées à une personne non autorisée dans un état non crypté, non protégé ou faiblement protégé. La plupart du temps, il s'agit de données que les pirates veulent voler, telles que des numéros de cartes de crédit, des identifiants d'utilisateurs, des secrets d'affaires et des informations personnelles qui pourraient être protégées par des lois et des réglementations sectorielles.
Les pirates peuvent voler des informations sensibles si elles sont stockées sans chiffrement ou en attaquant indirectement le système de chiffrement. Au lieu d'essayer de décrypter directement un chiffrement fort, ils volent les clés de chiffrement ou attaquent les données lorsqu'elles passent à un état non chiffré, par exemple lorsqu'elles sont préparées pour le transport.
Dans cet épisode, vous apprendrez
- Comment les attaquants peuvent-ils déclencher l'exposition de données sensibles ?
- Pourquoi l'exposition aux données sensibles est-elle si dangereuse ?
- Techniques permettant de corriger cette vulnérabilité.
Comment les attaquants exploitent-ils l'exposition aux données sensibles ?
L'exposition de données sensibles se produit généralement lorsque les sites n'utilisent pas un cryptage solide de bout en bout pour protéger les données, ou lorsqu'il y a des failles exploitables dans le système de protection. Elle peut également se produire lorsque le chiffrement utilisé est particulièrement faible ou obsolète.
Les pirates essaieront souvent de trouver des moyens de contourner le chiffrement s'il n'est pas généralisé. Par exemple, si une base de données d'identité d'utilisateur stocke des informations dans un état crypté, mais les décrypte automatiquement lorsqu'elles sont récupérées, un pirate pourrait être en mesure d'utiliser l'une des attaques que nous avons couvertes précédemment dans ces blogs, telles que l'injection SQL ou XML, pour ordonner à la base de données d'effectuer le processus de décryptage. Les données seraient alors décryptées pour le pirate, sans effort supplémentaire. Pourquoi essayer d'enfoncer une porte en acier quand vous pouvez simplement voler la clé ?
La faiblesse du cryptage est également un problème. Par exemple, si les cartes de crédit sont stockées à l'aide d'un système de cryptage obsolète, cela peut poser un problème si un pirate informatique est en mesure d'utiliser une vulnérabilité telle que l'inclusion d'un fichier local pour transférer l'ensemble de la base de données sur son ordinateur. Si les données capturées sont protégées à l'aide d'un système de cryptage puissant, tel que le cryptage AES-256 bits, il sera beaucoup plus difficile de les pirater si elles tombent entre les mains d'un hacker. Mais si un cryptage plus faible ou obsolète est utilisé, comme l'ancienne norme DES, un pirate disposant d'un équipement spécial tel qu'un rack d'unités de traitement graphique (GPU) peut s'atteler à casser le cryptage en un temps relativement court.
Pourquoi l'exposition aux données sensibles est-elle dangereuse ?
L'exposition des données sensibles est dangereuse car elle permet à des utilisateurs non autorisés de voir des informations protégées. Si les données n'étaient pas importantes, elles ne seraient pas protégées, de sorte que toute violation de cette protection entraînera des problèmes. Ce n'est jamais une situation à laquelle une organisation souhaite être confrontée.
L'ampleur des problèmes causés par l'exposition de données sensibles dépend du type de données exposées. Si les données relatives à l'utilisateur ou au mot de passe sont volées, elles peuvent être utilisées pour lancer d'autres attaques contre le système. L'exposition d'informations personnelles peut exposer les utilisateurs à des attaques secondaires telles que l'usurpation d'identité ou l'hameçonnage. Les organisations peuvent même se retrouver exposées à de lourdes amendes et à des actions gouvernementales si les données exposées sont légalement protégées par des lois telles que le Health Insurance Portability and Accountability Act (HIPAA) aux États-Unis ou le Règlement général sur la protection des données (RGPD) en Europe.
Éliminer l'exposition aux données sensibles
Pour mettre fin à l'exposition des données sensibles, il faut d'abord assurer un chiffrement solide, actualisé et de bout en bout des données sensibles dans toute l'entreprise. Cela concerne à la fois les données au repos et en transit. Il ne suffit pas de chiffrer les données sensibles lorsqu'elles sont stockées. Si elles ne sont pas chiffrées avant d'être utilisées ou transportées, elles peuvent être exposées à l'aide d'une attaque secondaire qui incite un serveur à les déchiffrer.
Les données en transit doivent toujours être protégées à l'aide de la technologie Transport Layer Security (TLS) afin d'éviter que l'homme du milieu ou d'autres attaques contre les données en mouvement ne les exposent à des risques. Les données sensibles ne doivent jamais être mises en cache, où que ce soit dans le réseau. Les données sensibles doivent être soit stockées avec un cryptage fort, soit envoyées en utilisant la protection TLS, ce qui ne laisse aux attaquants aucun point faible à exploiter.
Enfin, faites l'inventaire des types de données sensibles qui sont protégées par votre organisation. S'il n'y a aucune raison pour que votre organisation stocke ces données, jetez-les. Pourquoi vous exposer à des problèmes potentiels sans aucun avantage possible ? Les données qui ne sont pas conservées par une organisation ne peuvent pas lui être volées.
Plus d'informations sur l'exposition aux données sensibles
Pour en savoir plus, vous pouvez consulter ce que dit l'OWASP à propos de l'exposition des données sensibles. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la démo gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité pour qu'elles deviennent les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .
L'exposition de données sensibles se produit lorsque des informations qui ne sont destinées qu'à une visualisation autorisée sont exposées à une personne non autorisée dans un état non crypté, non protégé ou faiblement protégé.
Jaap Karan Singh est un évangéliste du codage sécurisé, Chief Singh et cofondateur de Secure Code Warrior.
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Réservez une démonstrationJaap Karan Singh est un évangéliste du codage sécurisé, Chief Singh et cofondateur de Secure Code Warrior.
L'exposition de données sensibles est à l'origine de certaines des violations de données les plus médiatisées et les plus importantes de ces dernières années, comme la violation catastrophique de Marriott, où plus de 300 millions de dossiers de clients ont été volés, et 150 millions d'autres lors de l'attaque d'Equifax. Un niveau moyen de sophistication est requis, et parfois un équipement spécial de la part de l'attaquant, mais il n'est pas trop difficile pour un pirate de réussir dans de nombreux cas, et il existe des outils pour automatiser certaines des fonctions d'attaque.
L'exposition de données sensibles se produit lorsque des informations qui ne sont destinées qu'à un usage autorisé sont exposées à une personne non autorisée dans un état non crypté, non protégé ou faiblement protégé. La plupart du temps, il s'agit de données que les pirates veulent voler, telles que des numéros de cartes de crédit, des identifiants d'utilisateurs, des secrets d'affaires et des informations personnelles qui pourraient être protégées par des lois et des réglementations sectorielles.
Les pirates peuvent voler des informations sensibles si elles sont stockées sans chiffrement ou en attaquant indirectement le système de chiffrement. Au lieu d'essayer de décrypter directement un chiffrement fort, ils volent les clés de chiffrement ou attaquent les données lorsqu'elles passent à un état non chiffré, par exemple lorsqu'elles sont préparées pour le transport.
Dans cet épisode, vous apprendrez
- Comment les attaquants peuvent-ils déclencher l'exposition de données sensibles ?
- Pourquoi l'exposition aux données sensibles est-elle si dangereuse ?
- Techniques permettant de corriger cette vulnérabilité.
Comment les attaquants exploitent-ils l'exposition aux données sensibles ?
L'exposition de données sensibles se produit généralement lorsque les sites n'utilisent pas un cryptage solide de bout en bout pour protéger les données, ou lorsqu'il y a des failles exploitables dans le système de protection. Elle peut également se produire lorsque le chiffrement utilisé est particulièrement faible ou obsolète.
Les pirates essaieront souvent de trouver des moyens de contourner le chiffrement s'il n'est pas généralisé. Par exemple, si une base de données d'identité d'utilisateur stocke des informations dans un état crypté, mais les décrypte automatiquement lorsqu'elles sont récupérées, un pirate pourrait être en mesure d'utiliser l'une des attaques que nous avons couvertes précédemment dans ces blogs, telles que l'injection SQL ou XML, pour ordonner à la base de données d'effectuer le processus de décryptage. Les données seraient alors décryptées pour le pirate, sans effort supplémentaire. Pourquoi essayer d'enfoncer une porte en acier quand vous pouvez simplement voler la clé ?
La faiblesse du cryptage est également un problème. Par exemple, si les cartes de crédit sont stockées à l'aide d'un système de cryptage obsolète, cela peut poser un problème si un pirate informatique est en mesure d'utiliser une vulnérabilité telle que l'inclusion d'un fichier local pour transférer l'ensemble de la base de données sur son ordinateur. Si les données capturées sont protégées à l'aide d'un système de cryptage puissant, tel que le cryptage AES-256 bits, il sera beaucoup plus difficile de les pirater si elles tombent entre les mains d'un hacker. Mais si un cryptage plus faible ou obsolète est utilisé, comme l'ancienne norme DES, un pirate disposant d'un équipement spécial tel qu'un rack d'unités de traitement graphique (GPU) peut s'atteler à casser le cryptage en un temps relativement court.
Pourquoi l'exposition aux données sensibles est-elle dangereuse ?
L'exposition des données sensibles est dangereuse car elle permet à des utilisateurs non autorisés de voir des informations protégées. Si les données n'étaient pas importantes, elles ne seraient pas protégées, de sorte que toute violation de cette protection entraînera des problèmes. Ce n'est jamais une situation à laquelle une organisation souhaite être confrontée.
L'ampleur des problèmes causés par l'exposition de données sensibles dépend du type de données exposées. Si les données relatives à l'utilisateur ou au mot de passe sont volées, elles peuvent être utilisées pour lancer d'autres attaques contre le système. L'exposition d'informations personnelles peut exposer les utilisateurs à des attaques secondaires telles que l'usurpation d'identité ou l'hameçonnage. Les organisations peuvent même se retrouver exposées à de lourdes amendes et à des actions gouvernementales si les données exposées sont légalement protégées par des lois telles que le Health Insurance Portability and Accountability Act (HIPAA) aux États-Unis ou le Règlement général sur la protection des données (RGPD) en Europe.
Éliminer l'exposition aux données sensibles
Pour mettre fin à l'exposition des données sensibles, il faut d'abord assurer un chiffrement solide, actualisé et de bout en bout des données sensibles dans toute l'entreprise. Cela concerne à la fois les données au repos et en transit. Il ne suffit pas de chiffrer les données sensibles lorsqu'elles sont stockées. Si elles ne sont pas chiffrées avant d'être utilisées ou transportées, elles peuvent être exposées à l'aide d'une attaque secondaire qui incite un serveur à les déchiffrer.
Les données en transit doivent toujours être protégées à l'aide de la technologie Transport Layer Security (TLS) afin d'éviter que l'homme du milieu ou d'autres attaques contre les données en mouvement ne les exposent à des risques. Les données sensibles ne doivent jamais être mises en cache, où que ce soit dans le réseau. Les données sensibles doivent être soit stockées avec un cryptage fort, soit envoyées en utilisant la protection TLS, ce qui ne laisse aux attaquants aucun point faible à exploiter.
Enfin, faites l'inventaire des types de données sensibles qui sont protégées par votre organisation. S'il n'y a aucune raison pour que votre organisation stocke ces données, jetez-les. Pourquoi vous exposer à des problèmes potentiels sans aucun avantage possible ? Les données qui ne sont pas conservées par une organisation ne peuvent pas lui être volées.
Plus d'informations sur l'exposition aux données sensibles
Pour en savoir plus, vous pouvez consulter ce que dit l'OWASP à propos de l'exposition des données sensibles. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la démo gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité pour qu'elles deviennent les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .
L'exposition de données sensibles est à l'origine de certaines des violations de données les plus médiatisées et les plus importantes de ces dernières années, comme la violation catastrophique de Marriott, où plus de 300 millions de dossiers de clients ont été volés, et 150 millions d'autres lors de l'attaque d'Equifax. Un niveau moyen de sophistication est requis, et parfois un équipement spécial de la part de l'attaquant, mais il n'est pas trop difficile pour un pirate de réussir dans de nombreux cas, et il existe des outils pour automatiser certaines des fonctions d'attaque.
L'exposition de données sensibles se produit lorsque des informations qui ne sont destinées qu'à un usage autorisé sont exposées à une personne non autorisée dans un état non crypté, non protégé ou faiblement protégé. La plupart du temps, il s'agit de données que les pirates veulent voler, telles que des numéros de cartes de crédit, des identifiants d'utilisateurs, des secrets d'affaires et des informations personnelles qui pourraient être protégées par des lois et des réglementations sectorielles.
Les pirates peuvent voler des informations sensibles si elles sont stockées sans chiffrement ou en attaquant indirectement le système de chiffrement. Au lieu d'essayer de décrypter directement un chiffrement fort, ils volent les clés de chiffrement ou attaquent les données lorsqu'elles passent à un état non chiffré, par exemple lorsqu'elles sont préparées pour le transport.
Dans cet épisode, vous apprendrez
- Comment les attaquants peuvent-ils déclencher l'exposition de données sensibles ?
- Pourquoi l'exposition aux données sensibles est-elle si dangereuse ?
- Techniques permettant de corriger cette vulnérabilité.
Comment les attaquants exploitent-ils l'exposition aux données sensibles ?
L'exposition de données sensibles se produit généralement lorsque les sites n'utilisent pas un cryptage solide de bout en bout pour protéger les données, ou lorsqu'il y a des failles exploitables dans le système de protection. Elle peut également se produire lorsque le chiffrement utilisé est particulièrement faible ou obsolète.
Les pirates essaieront souvent de trouver des moyens de contourner le chiffrement s'il n'est pas généralisé. Par exemple, si une base de données d'identité d'utilisateur stocke des informations dans un état crypté, mais les décrypte automatiquement lorsqu'elles sont récupérées, un pirate pourrait être en mesure d'utiliser l'une des attaques que nous avons couvertes précédemment dans ces blogs, telles que l'injection SQL ou XML, pour ordonner à la base de données d'effectuer le processus de décryptage. Les données seraient alors décryptées pour le pirate, sans effort supplémentaire. Pourquoi essayer d'enfoncer une porte en acier quand vous pouvez simplement voler la clé ?
La faiblesse du cryptage est également un problème. Par exemple, si les cartes de crédit sont stockées à l'aide d'un système de cryptage obsolète, cela peut poser un problème si un pirate informatique est en mesure d'utiliser une vulnérabilité telle que l'inclusion d'un fichier local pour transférer l'ensemble de la base de données sur son ordinateur. Si les données capturées sont protégées à l'aide d'un système de cryptage puissant, tel que le cryptage AES-256 bits, il sera beaucoup plus difficile de les pirater si elles tombent entre les mains d'un hacker. Mais si un cryptage plus faible ou obsolète est utilisé, comme l'ancienne norme DES, un pirate disposant d'un équipement spécial tel qu'un rack d'unités de traitement graphique (GPU) peut s'atteler à casser le cryptage en un temps relativement court.
Pourquoi l'exposition aux données sensibles est-elle dangereuse ?
L'exposition des données sensibles est dangereuse car elle permet à des utilisateurs non autorisés de voir des informations protégées. Si les données n'étaient pas importantes, elles ne seraient pas protégées, de sorte que toute violation de cette protection entraînera des problèmes. Ce n'est jamais une situation à laquelle une organisation souhaite être confrontée.
L'ampleur des problèmes causés par l'exposition de données sensibles dépend du type de données exposées. Si les données relatives à l'utilisateur ou au mot de passe sont volées, elles peuvent être utilisées pour lancer d'autres attaques contre le système. L'exposition d'informations personnelles peut exposer les utilisateurs à des attaques secondaires telles que l'usurpation d'identité ou l'hameçonnage. Les organisations peuvent même se retrouver exposées à de lourdes amendes et à des actions gouvernementales si les données exposées sont légalement protégées par des lois telles que le Health Insurance Portability and Accountability Act (HIPAA) aux États-Unis ou le Règlement général sur la protection des données (RGPD) en Europe.
Éliminer l'exposition aux données sensibles
Pour mettre fin à l'exposition des données sensibles, il faut d'abord assurer un chiffrement solide, actualisé et de bout en bout des données sensibles dans toute l'entreprise. Cela concerne à la fois les données au repos et en transit. Il ne suffit pas de chiffrer les données sensibles lorsqu'elles sont stockées. Si elles ne sont pas chiffrées avant d'être utilisées ou transportées, elles peuvent être exposées à l'aide d'une attaque secondaire qui incite un serveur à les déchiffrer.
Les données en transit doivent toujours être protégées à l'aide de la technologie Transport Layer Security (TLS) afin d'éviter que l'homme du milieu ou d'autres attaques contre les données en mouvement ne les exposent à des risques. Les données sensibles ne doivent jamais être mises en cache, où que ce soit dans le réseau. Les données sensibles doivent être soit stockées avec un cryptage fort, soit envoyées en utilisant la protection TLS, ce qui ne laisse aux attaquants aucun point faible à exploiter.
Enfin, faites l'inventaire des types de données sensibles qui sont protégées par votre organisation. S'il n'y a aucune raison pour que votre organisation stocke ces données, jetez-les. Pourquoi vous exposer à des problèmes potentiels sans aucun avantage possible ? Les données qui ne sont pas conservées par une organisation ne peuvent pas lui être volées.
Plus d'informations sur l'exposition aux données sensibles
Pour en savoir plus, vous pouvez consulter ce que dit l'OWASP à propos de l'exposition des données sensibles. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la démo gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité pour qu'elles deviennent les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .
Cliquez sur le lien ci-dessous et téléchargez le PDF de cette ressource.
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Voir le rapportRéservez une démonstrationJaap Karan Singh est un évangéliste du codage sécurisé, Chief Singh et cofondateur de Secure Code Warrior.
L'exposition de données sensibles est à l'origine de certaines des violations de données les plus médiatisées et les plus importantes de ces dernières années, comme la violation catastrophique de Marriott, où plus de 300 millions de dossiers de clients ont été volés, et 150 millions d'autres lors de l'attaque d'Equifax. Un niveau moyen de sophistication est requis, et parfois un équipement spécial de la part de l'attaquant, mais il n'est pas trop difficile pour un pirate de réussir dans de nombreux cas, et il existe des outils pour automatiser certaines des fonctions d'attaque.
L'exposition de données sensibles se produit lorsque des informations qui ne sont destinées qu'à un usage autorisé sont exposées à une personne non autorisée dans un état non crypté, non protégé ou faiblement protégé. La plupart du temps, il s'agit de données que les pirates veulent voler, telles que des numéros de cartes de crédit, des identifiants d'utilisateurs, des secrets d'affaires et des informations personnelles qui pourraient être protégées par des lois et des réglementations sectorielles.
Les pirates peuvent voler des informations sensibles si elles sont stockées sans chiffrement ou en attaquant indirectement le système de chiffrement. Au lieu d'essayer de décrypter directement un chiffrement fort, ils volent les clés de chiffrement ou attaquent les données lorsqu'elles passent à un état non chiffré, par exemple lorsqu'elles sont préparées pour le transport.
Dans cet épisode, vous apprendrez
- Comment les attaquants peuvent-ils déclencher l'exposition de données sensibles ?
- Pourquoi l'exposition aux données sensibles est-elle si dangereuse ?
- Techniques permettant de corriger cette vulnérabilité.
Comment les attaquants exploitent-ils l'exposition aux données sensibles ?
L'exposition de données sensibles se produit généralement lorsque les sites n'utilisent pas un cryptage solide de bout en bout pour protéger les données, ou lorsqu'il y a des failles exploitables dans le système de protection. Elle peut également se produire lorsque le chiffrement utilisé est particulièrement faible ou obsolète.
Les pirates essaieront souvent de trouver des moyens de contourner le chiffrement s'il n'est pas généralisé. Par exemple, si une base de données d'identité d'utilisateur stocke des informations dans un état crypté, mais les décrypte automatiquement lorsqu'elles sont récupérées, un pirate pourrait être en mesure d'utiliser l'une des attaques que nous avons couvertes précédemment dans ces blogs, telles que l'injection SQL ou XML, pour ordonner à la base de données d'effectuer le processus de décryptage. Les données seraient alors décryptées pour le pirate, sans effort supplémentaire. Pourquoi essayer d'enfoncer une porte en acier quand vous pouvez simplement voler la clé ?
La faiblesse du cryptage est également un problème. Par exemple, si les cartes de crédit sont stockées à l'aide d'un système de cryptage obsolète, cela peut poser un problème si un pirate informatique est en mesure d'utiliser une vulnérabilité telle que l'inclusion d'un fichier local pour transférer l'ensemble de la base de données sur son ordinateur. Si les données capturées sont protégées à l'aide d'un système de cryptage puissant, tel que le cryptage AES-256 bits, il sera beaucoup plus difficile de les pirater si elles tombent entre les mains d'un hacker. Mais si un cryptage plus faible ou obsolète est utilisé, comme l'ancienne norme DES, un pirate disposant d'un équipement spécial tel qu'un rack d'unités de traitement graphique (GPU) peut s'atteler à casser le cryptage en un temps relativement court.
Pourquoi l'exposition aux données sensibles est-elle dangereuse ?
L'exposition des données sensibles est dangereuse car elle permet à des utilisateurs non autorisés de voir des informations protégées. Si les données n'étaient pas importantes, elles ne seraient pas protégées, de sorte que toute violation de cette protection entraînera des problèmes. Ce n'est jamais une situation à laquelle une organisation souhaite être confrontée.
L'ampleur des problèmes causés par l'exposition de données sensibles dépend du type de données exposées. Si les données relatives à l'utilisateur ou au mot de passe sont volées, elles peuvent être utilisées pour lancer d'autres attaques contre le système. L'exposition d'informations personnelles peut exposer les utilisateurs à des attaques secondaires telles que l'usurpation d'identité ou l'hameçonnage. Les organisations peuvent même se retrouver exposées à de lourdes amendes et à des actions gouvernementales si les données exposées sont légalement protégées par des lois telles que le Health Insurance Portability and Accountability Act (HIPAA) aux États-Unis ou le Règlement général sur la protection des données (RGPD) en Europe.
Éliminer l'exposition aux données sensibles
Pour mettre fin à l'exposition des données sensibles, il faut d'abord assurer un chiffrement solide, actualisé et de bout en bout des données sensibles dans toute l'entreprise. Cela concerne à la fois les données au repos et en transit. Il ne suffit pas de chiffrer les données sensibles lorsqu'elles sont stockées. Si elles ne sont pas chiffrées avant d'être utilisées ou transportées, elles peuvent être exposées à l'aide d'une attaque secondaire qui incite un serveur à les déchiffrer.
Les données en transit doivent toujours être protégées à l'aide de la technologie Transport Layer Security (TLS) afin d'éviter que l'homme du milieu ou d'autres attaques contre les données en mouvement ne les exposent à des risques. Les données sensibles ne doivent jamais être mises en cache, où que ce soit dans le réseau. Les données sensibles doivent être soit stockées avec un cryptage fort, soit envoyées en utilisant la protection TLS, ce qui ne laisse aux attaquants aucun point faible à exploiter.
Enfin, faites l'inventaire des types de données sensibles qui sont protégées par votre organisation. S'il n'y a aucune raison pour que votre organisation stocke ces données, jetez-les. Pourquoi vous exposer à des problèmes potentiels sans aucun avantage possible ? Les données qui ne sont pas conservées par une organisation ne peuvent pas lui être volées.
Plus d'informations sur l'exposition aux données sensibles
Pour en savoir plus, vous pouvez consulter ce que dit l'OWASP à propos de l'exposition des données sensibles. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la démo gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité pour qu'elles deviennent les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .
Table des matières
Jaap Karan Singh est un évangéliste du codage sécurisé, Chief Singh et cofondateur de Secure Code Warrior.
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Réservez une démonstrationTéléchargerRessources pour vous aider à démarrer
Évaluation comparative des compétences en matière de sécurité : Rationalisation de la conception sécurisée dans l'entreprise
Le mouvement "Secure-by-Design" (conception sécurisée) est l'avenir du développement de logiciels sécurisés. Découvrez les éléments clés que les entreprises doivent garder à l'esprit lorsqu'elles envisagent une initiative de conception sécurisée.
DigitalOcean réduit sa dette de sécurité avec Secure Code Warrior
L'utilisation par DigitalOcean de la formation Secure Code Warrior a considérablement réduit la dette de sécurité, permettant aux équipes de se concentrer davantage sur l'innovation et la productivité. L'amélioration de la sécurité a renforcé la qualité des produits et l'avantage concurrentiel de l'entreprise. À l'avenir, le score de confiance SCW les aidera à améliorer leurs pratiques de sécurité et à continuer à stimuler l'innovation.
Ressources pour vous aider à démarrer
La note de confiance révèle la valeur des initiatives d'amélioration de la sécurité par la conception
Nos recherches ont montré que la formation au code sécurisé fonctionne. Le Trust Score, qui utilise un algorithme s'appuyant sur plus de 20 millions de points de données d'apprentissage issus du travail de plus de 250 000 apprenants dans plus de 600 organisations, révèle son efficacité à réduire les vulnérabilités et la manière de rendre l'initiative encore plus efficace.
Sécurité réactive contre sécurité préventive : La prévention est un meilleur remède
L'idée d'apporter une sécurité préventive aux codes et systèmes existants en même temps qu'aux applications plus récentes peut sembler décourageante, mais une approche "Secure-by-Design", mise en œuvre en améliorant les compétences des développeurs, permet d'appliquer les meilleures pratiques de sécurité à ces systèmes. C'est la meilleure chance qu'ont de nombreuses organisations d'améliorer leur sécurité.
Les avantages de l'évaluation des compétences des développeurs en matière de sécurité
L'importance croissante accordée au code sécurisé et aux principes de conception sécurisée exige que les développeurs soient formés à la cybersécurité dès le début du cycle de développement durable, et que des outils tels que le Trust Score de Secure Code Warriorles aident à mesurer et à améliorer leurs progrès.
Assurer le succès des initiatives de conception sécurisée de l'entreprise
Notre dernier document de recherche, Benchmarking Security Skills : Streamlining Secure-by-Design in the Enterprise est le résultat d'une analyse approfondie d'initiatives réelles de conception sécurisée au niveau de l'entreprise, et de l'élaboration d'approches de meilleures pratiques basées sur des conclusions fondées sur des données.