Segurança de Aplicações Web
OWASP
OWASP IBWAS’10 Call for Training Proposals
Jul 28th
2nd. OWASP Ibero-American Web-Applications Security conference (IBWAS’10)
ISCTE – Lisbon University Institute
25th – 26th November 2010
Lisboa, Portugal
http://www.ibwas.com
**CALL FOR TRAINING SESSIONS**
IBWAS and OWASP is currently soliciting training proposals for the OWASP Ibero-American Web Applications Security 2010 Conference (IBWAS’10) which will take place at ISCTE-IUL, Lisboa, Portugal, on November 24 through November 26, 2010.
There will be training courses on November 24 followed by plenary sessions on the 25 and 26 with multiple tracks per day.
We are seeking training proposals on the following topics (in no particular order):
- Application Threat Modeling
- Business Risks with Application Security
- Hands-on Source Code Review
- Metrics for Application Security
- OWASP Tools and Projects
- Privacy Concerns with Applications and Data Storage
- Secure Coding Practices (J2EE/.NET)
- Starting and Managing Secure Development Lifecycle Programs
- Technology specific presentations on security such as AJAX, XML, etc
- Web Application Security countermeasures
- Web Application Security Testing
- Web Services, XML and Application Security
- Anything else relating to OWASP and Application Security
Proposals on topics not listed above but related to the conference (i.e. which are related to Application Security) may also be accepted.
To make a submission you must fill out the form available at http://ibwas09.netmust.eu/files/ibwas10/OWASP_IBWAS_2010_CFT.rtf.zip and submit by email to secretariat@ibwas.com.
There may be 1 or half a day courses. The proposals must respect the restrictions of the OWASP Speaker Agreement. The conference will reward trainers with at least 30% of the total revenue of their courses, based on a minimum attendance. Courses that attract more students may be granted higher percentages. No other compensation (such as tickets or lodging) will be provided. If you require a different arrangement, please contact the conference chair at the email address below.
**Compensation**
Instructors and authors will be paid based on the number of students in their training sessions. If the training gathers only the minimum number of students, the compensation will be 30% of the revenue. For each group of 10 extra students enrolled, the compensation will be increased by 5% of the revenue, up to a maximum of 45% of the training revenue. For example, a 1-day training with 10 to 19 students will generate a compensation of 30% of the revenue. For classes of 20 to 29 students, the compensation raises to 35% percent of the revenue.
In exceptional cases, different compensation schemes may be accepted. Please contact the conference organization team by email (secretariat@ibwas.com) for details.
**Training cost**
half-day training: 250 EUR per student
1-day training: 450 EUR per student
All prices in Euros (EUR)
**Minimum number of students**
half-day trainings: 10 students
1-day trainings: 20 students
**Important Dates:**
Submission deadline is September 20, 2010.
Notification of acceptance will be October 8, 2010.
Final version is due October 29, 2010.
The conference organization team may be contacted by email at secretariat@ibwas.com
For more information, please see the following web pages:
Conference Website: http://www.ibwas.com, http://www.owasp.org/index.php/IBWAS10
OWASP Speaker Agreement: http://www.owasp.org/index.php/Speaker_Agreement
OWASP Website: http://www.owasp.org
Easychair conference site: http://www.easychair.org/conferences/?conf=ibwas10
Presentation proposal form: http://ibwas09.netmust.eu/files/ibwas10/OWASP_IBWAS_2010_CFT.rtf.zip
********** WARNING: Submissions without all the information requested in the proposal form will not be considered ************
Please forward to all interested practitioners and colleagues.
Arachni – nova ferramenta de detecção de vulnerabilidades de aplicações web
Jul 16th
Aqui fica mais uma ferramenta para detecção automática de vulnerabilidades em aplicações web, desenvolvida em Ruby. Esta ferramenta chama-se Arachni.
Está ainda numa fase de desenvolvimento muito intenso, mas pode ser mais uma ferramenta importante a juntar ao rol das existentes.
IBWAS’10 muda de data
Jul 15th
A 2ª Conferência Ibero-Americana em Segurança de Aplicações Web (IBero-american Web Application Security conference – IBWAS), alterou as suas datas de realização, devido ao facto de que o OWASP SUMMIT 2010, ter sido marcado para uma data que era coincidente com a IBWAS’10, impedindo assim que muitos dos membros da OWASP perdessem a oportunidade de estarem presentes em ambos os eventos.
Assim, optou-se por adiar a realização da conferência IBWAS’10 por duas semanas, sendo que as novas datas são dia 25 e 26 de Novembro.
Aproveito igualmente para informar que os prazos para a submissão de artigos foram igualmente estendidos.
Continuamos apostados em fazer da IBWAS’10 um excelente evento na área da segurança de informação.
Desenvolvimento Seguro com a Zend Framework
Jul 15th
Aqui fica um link para um webinar promovido pela Zend sobre um conjunto de boas práticas para o desenvolvimento em segurança usando a Zend Framework.
É necessário o registo no site da Zend, mas vale a pena.
OWASP Top 10 para programadores .Net
Jul 15th
O Bruno Morisson partilhou hoje na ML da InfoSec-Pros-PT um link muito interessante – um conjunto de artigos num blog de um tal de Troy Hunt, um arquitecto de software.
Nesta série de artigos, são abordados os diversos riscos identificados pelo OWASP Top 10, sendo explicados detalhadamente cada um deles, com exemplos, numa perspectiva de um programador de .Net.
Para já, já existem os seguintes artigos sobre três dos principais riscos:
Armazenamento de Informações de Sessões Cifradas
Jul 14th
Aqui fica uma boa dica sobre guardar informação de sessões em PHP, de uma forma cifrada. Vale a pena uma olhadela!
Apresentação na World Internet Project 2010 (WIP2010)
Jul 6th
O World Internet Project (WIP) é um projecto internacional e colaborativo que olha para o impacto social, político e económico da Internet e de outras novas tecnologias.
O WIP reuniu-se em Lisboa, no ISCTE-IUL, no seu 11º encontro anual, a ter lugar entre 6 e 8 de Julho, e juntou um conjunto de pessoas de todo o mundo que discutem alguns dos problemas com a actual Internet.
Estive lá, e fiz uma apresentação muito sucinta de alguns dos problemas da WWW, e do OWASP.
Aqui está a apresentação.
Nova versão da ferramenta OWASP JBroFuzz
Jul 1st
Foi lançada uma nova versão da ferramenta JBroFuzz a ser desenvolvida num dos projectos patrocinados pela OWASP.
Ok, mas o que é isto do Fuzzing e para que serve?
Nada melhor do que usar a definição na Wikipedia, que define o Fuzz testing ou fuzzing como sendo uma técnica de testes a software que passa input inválido, inesperado e aleatório para uma determinada aplicação de software. Se o programa falhar (por exemplo se crashar), é possível detectar os defeitos do mesmo.
No caso específico do JBroFuzz, trata-se de um fuzzer específico para aplicações web. O JBroFuzz pode ser utilizado para enviar pedidos fuzzing para aplicações web, através do protocolo HTTP ou HTTPS.
A ferramenta gera pedidos, envia-os para a aplicação em cause e regista as respostas que recebe de volta. Não tenta identificar se um determinado site é vulnerável ou não, necessitando depois intervenção e análise manual.
Mais uma ferramenta da OWASP, a juntar à colecção de excelentes recursos disponibilizados gratuitamente pela organização.
10 dicas de segurança para o WordPress
Jul 1st
Para quem usa a plataforma WordPress para ter o seu próprio blog na rede, a Smashing Magazine compilou uma série de 10 dicas de segurança que podem ajudar a proteger o seu blog.
Aqui fica a lista:
- Prevenir que informação desnecessária seja mostrada
- Forçar a utilização de SSL
- Usar o .htaccess para proteger o ficheiro wp-config
- Banir bots e utilizadores não desejados
- Proteger o blog WordPress de injecções de scripts
- Lutar contra os usurpadores de conteúdos
- Criar um plug-in para proteger o blog contra pedidos maliciosos de URL
- Remover o número de versão do WordPress
- Alterar o nome do utilizador “Admin” que vem configurado por defeito
- Impedir a navegação em directorias
