Mardi 4 mai 2010
Également publié sur le
Google Online Security Blog
Nous voulons que les Googlers aient une compréhension ferme des menaces auxquelles nos services font face, ainsi que de la manière
de se protéger contre ces menaces. Nous travaillons à atteindre ces objectifs de différentes manières, notamment
des formations à la sécurité pour les nouveaux ingénieurs, des présentations techniques sur la sécurité et d’autres types de
documentation. Nous utilisons également des codelabs, des tutoriels de programmation interactifs qui guident les
participants à travers des tâches de programmation spécifiques.
Un codelab en particulier enseigne aux développeurs les types courants de vulnérabilités
des applications web. Dans l’esprit de l’idée selon laquelle « il faut un hacker pour en attraper un », le
codelab démontre également comment un attaquant pourrait exploiter de telles vulnérabilités.
Nous publions ce codelab, intitulé « Web Application Exploits and Defenses », aujourd’hui en
collaboration avec
Google Code University et
Google Labs
pour aider les développeurs de logiciels à mieux identifier, corriger et éviter des failles similaires dans leurs
propres applications. Le codelab est construit autour de Gruyere, une petite mais complète application
de microblogging conçue pour contenir de nombreux bogues de sécurité. Les vulnérabilités couvertes par le
laboratoire incluent le cross-site scripting (XSS), la falsification de requêtes inter-sites (XSRF) et
l’inclusion de scripts inter-sites (XSSI), ainsi que la manipulation de l’état du client, le parcours de répertoires et
des vulnérabilités AJAX et de configuration. Il montre également comment de simples bogues peuvent conduire à la divulgation
d’informations, au déni de service et à l’exécution de code à distance.
L’adage « avec un nombre suffisant de regards, tous les bogues sont superficiels » n’est vrai que si les
regards savent quoi chercher. À cette fin, les bogues de sécurité dans Gruyere sont de vrais bogues, tout comme ceux de
nombreuses autres applications. Le code source de Gruyere est publié sous licence Creative Commons et est
disponible pour une utilisation dans des exercices de piratage en boîte blanche ou dans des cours d’informatique couvrant la sécurité,
l’ingénierie logicielle ou le développement de logiciels en général.
Pour commencer, visitez
https://google-gruyere.appspot.com/.
Un guide pour les instructeurs sur l’utilisation du codelab est désormais disponible sur
Google Code University.
Comment nous l'appliquons
We archive Search Central announcements because client questions often trace back to a change that was announced years ago. Reading the original is faster than reconstructing it from second-hand summaries.
Services associés