Audit de code

Les entrées utilisateurs sont souvent manipulées par le programme de ce fait des mécanismes de sécurité doivent être appliqués pour empêcher un attaquant d'altérer son exécution normale. Une attaque réussie peut permettre à l'attaquant de récupérer des informations ou de s’introduire dans le système.
L'application devra, entre autres :

• Appliquer des règles strictes sur le format des données attendues, soit via des DTO (objets de transfert de données), soit par des règles de filtrage.
• Filtrer les entrées utilisateurs et échapper les caractères spéciaux propres au langage employé. Dans le cas de SQL, des caractères du types * ‘ ‘’ % ; doivent impérativement être éliminés avant de traiter la requête.
• Utiliser systématiquement des requêtes préparées pour la création des requêtes SQL.
• Implémenter des contrôles de taille, de type et de stockage sur les fichiers envoyer sur le serveur.

Un utilisateur s’authentifie lorsqu’il se connecte à un service. Une fois authentifié, une preuve de son identité lui est délivrée sous forme de jeton de session. Cette fonctionnalité est particulièrement sensible, car son contournement peut entraîner la compromission de l’ensemble des comptes du système.
Voici les contrôles effectués pour tester la robustesse de ces processus :

• S’assurer que le système limite le nombre de tentatives de connexion échouées et applique un verrouillage temporaire après plusieurs tentatives, pour se protéger contre les attaques par force brute.
• S’assurer de l’application d’une politique de mots de passe complexes.
• Mise en place des messages d’erreurs non verbeux ni techniques sur les interfaces d’authentification
• S’assurer du caractère aléatoire d’un jeton de session et vérifier qu’un attaquant ne peut pas générer un jeton de session valide pour un autre utilisateur.
• S’assurer que les jetons de session peuvent être révoqués correctement, notamment en cas de déconnexion.

Dans une application, il est fréquent de gérer plusieurs utilisateurs ayant des accès différents aux données et aux fonctionnalités. AlgoSecure veillera à ce que les droits soient correctement appliqués en vérifiant les points suivants :

• Les données sont bien associées aux utilisateurs concernés et ne sont pas accessibles par des utilisateurs non autorisés.
• Certaines fonctionnalités, comme les fonctionnalités d’administration, ne peuvent être exécutées que par des comptes disposant des privilèges adéquats.
• Aucun objet ne doit être directement référencé de manière à éviter qu’un attaquant puisse les retrouver facilement.

Avec l'utilisation croissante de dépendances, de bibliothèques et de frameworks, une configuration minutieuse par les développeurs est nécessaire pour appliquer des règles de durcissement. Voici quelques règles vérifiées :

• Activer la journalisation et la surveillance des accès, en particulier pour les fonctionnalités sensibles.
• S’assurer que l’ensemble des composants tiers est à jour.
• Désactiver les services inutiles pour limiter la surface d'attaque.
• Supprimer ou désactiver les pages inutiles, y compris les pages par défaut des bibliothèques.
• Vérifier la configuration des mécanismes de sécurité, notamment l’application d’une couche TLS et la protection contre les attaques CSRF.
• S'assurer qu’aucun secret (comme des clés API ou mots de passe) n'est codé en dur dans le code.

Les données sensibles (données nominatives, mots de passe, données de paiement, etc.) doivent être stockées sous forme chiffrée. AlgoSecure vérifiera l’utilisation d’un algorithme de chiffrement fort pour les données identifiées comme sensibles. Il s’assurera notamment :

• Que les données et les sauvegardes soient chiffrées
• Que des algorithmes standards et clés fortes sont utilisés
• Que les clés et mots de passe sont protégés des accès non autorisés