Sensibilisation au développement sécurisé : bonnes pratiques de codage pour éviter les failles

• Expliciter et exposer les bases de la sécurité des applications
• Comprendre les enjeux de la cybersécurité dans le développement des applications
• Présenter les vulnérabilités courantes, ainsi que les techniques d'attaques utilisées par les attaquants
• Présenter les bonnes pratiques de développement, de conception et de maintien des applications afin d'assurer une sécurité des applications développées
• Enrichir les connaissances en matière de l'authentification sécurisée, gestion des comptes et des identités, de la protection de données sensibles et de la gestion des autorisations
• Présenter les risques liés à la sécurité des applications afin de convaincre à adopter une approche proactive pour permettre la prévention des attaques informatiques, ainsi que de minimiser les risques de compromission des applications développées

1. SENSIBILISATION ET EXEMPLES D'INCIDENTS

• Exemples récents sur des cyberattaques d'envergure majeure et explication des vulnérabilités qui les ont causés
• Chiffres clés concernant les dépenses liées à la sécurité, couts et pertes liés aux cyberattaques
• Risques qu'encourt une entreprise en cas de cyberattaque

2. PROTECTION DE DONNÉES SENSIBLES

• Gestion des secrets et données sensibles, ainsi que leur stockage
• Chiffrement des communications (best practices)
• Gestion des comptes et séparation des environnements de développement

3. GESTION DES INPUTS / OUTPUTS

• Injections SQL
• Gestion des accès aux fichiers
• Injections côté client
• Content-Security Policy
• Sérialisation / Désérialisation des données

4. GESTION DES SESSIONS

• Maintien de sessions utilisateur (CSRF, Cookies et leurs attributs de sécurité, JWT, etc.)
• Spécificités liées au maintien de session et identification client dans le contexte d'une API

5. CONTRÔLE D'ACCÈS

• Mécanismes d'authentification et attaques communes (Brute force, TOCTOU, fixation de cookies, réinitialisation de mots de passe, fonctionnalités de login, etc.)
• Gestion des mécanismes de contrôle et vérifications côté navigateur du client (et démonstration d'erreurs communes)
• Ségrégation et gestion des accès interutilisateurs
• Escalade de privilèges

6. GESTION DES LOGS ET DES ERREURS

• Gestion des logs verbeux, leur stockage et collecte
• Gestion des erreurs verbeuses et attaques possibles