Οι αποτυχίες στην αλυσίδα εφοδιασμού λογισμικού και η κακή διαχείριση εξαιρετικών συνθηκών είναι μερικές από τις προσθήκες στην ενημερωμένη λίστα OWASP Top 10, μια λίστα με τις κορυφαίες ευπάθειες εφαρμογών ιστού. Το μεγαλύτερο μέρος της λίστας έχει παραμείνει αμετάβλητο από το 2021. Στην πραγματικότητα, το κορυφαίο στοιχείο, η αποτυχία ελέγχου πρόσβασης, βρίσκεται στη λίστα του Open Worldwide Application Security Project από την πρώτη της έκδοση το 2003.
Δείτε επίσης: Η AI ενισχύει την αλυσίδα επιθέσεων σε AWS περιβάλλοντα
«Όλοι προσπαθούν να δημιουργήσουν τους δικούς τους μηχανισμούς αυθεντικοποίησης και ελέγχου πρόσβασης», λέει ο Jeff Williams, CTO και συνιδρυτής της Contrast Security.
Ο Williams δημιούργησε τη λίστα και υπηρέτησε ως πρόεδρος του διοικητικού συμβουλίου του OWASP για οκτώ χρόνια. Υπάρχουν τυπικοί μηχανισμοί εκεί έξω, αλλά οι περισσότερες εφαρμογές έχουν εξειδικευμένες ανάγκες, λέει. «Έχω δει μερικές πραγματικά φρικτές μηχανές που έχουν κατασκευάσει άνθρωποι για να κάνουν ελέγχους πρόσβασης, και δεν τις κατασκευάζουν κομψά. Τις κατασκευάζουν κομμάτι-κομμάτι— και κατασκευάζουν τον δικό τους έλεγχο πρόσβασης. Και σχεδόν κανείς δεν δοκιμάζει τον έλεγχο πρόσβασης.»
Μια τυπική εφαρμογή ιστού μπορεί να έχει εκατό σημεία πρόσβασης, λέει ο Williams, καθένα από τα οποία μπορεί να προσπελαστεί από έναν αριθμό διαφορετικών ρόλων. Η τεχνητή νοημοσύνη δεν μπήκε στη λίστα των δέκα κορυφαίων, αλλά περιλήφθηκε σε μια ενότητα «επόμενα βήματα» θεμάτων που βρίσκονται στο κατώφλι της ένταξης, εκτός από την έλλειψη ανθεκτικότητας εφαρμογών και τις αποτυχίες διαχείρισης μνήμης.
Αυτή η κατηγορία AI έχει τον τίτλο: X03:2025 Ακατάλληλη Εμπιστοσύνη στον Κώδικα που Παράγεται από AI (‘Vibe Coding’). «Αν και δεν είχαμε δεδομένα που να υποστηρίζουν το γεγονός ότι ο κώδικας που παράγεται από AI προκαλεί σημαντικά μεγαλύτερο κίνδυνο από τον κώδικα που γράφεται από ανθρώπους, χάρη στην ανατροφοδότηση της κοινότητας, την επαγγελματική εμπειρία και τη συνεχή διαδικτυακή κοινοποίηση τέτοιων δεδομένων, θεωρήσαμε φρόνιμο να προσθέσουμε μια ενότητα», λέει η Tanya Janca, κύρια συγγραφέας της λίστας OWASP Top 10.
Οι προγραμματιστές πρέπει να διαβάζουν και να κατανοούν πλήρως τον κώδικα που παράγεται από AI πριν τον δεσμεύσουν, λέει. Η λίστα OWASP Top 10 βασίζεται σε έναν συνδυασμό δεδομένων ασφαλείας από μια δωδεκάδα διαφορετικών οργανισμών, καλύπτοντας σχεδόν 3 εκατομμύρια εφαρμογές, καθώς και μια έρευνα 221 ειδικών ασφαλείας, λέει ο ειδικός μετρήσεων ασφαλείας Aram Hovsepyan, CEO της Codific και μέλος του OWASP.
Δείτε ακόμα: Shai-Hulud & Co.: Η αλυσίδα εφοδιασμού λογισμικού ως αδυναμία
OWASP Top 10:
- Αποτυχία ελέγχου πρόσβασης. Όταν οι εφαρμογές αποτυγχάνουν να επιβάλλουν σωστά περιορισμούς σε ό,τι επιτρέπεται να κάνουν οι αυθεντικοποιημένοι χρήστες, επιτρέποντας στους επιτιθέμενους να έχουν πρόσβαση σε μη εξουσιοδοτημένη λειτουργικότητα ή δεδομένα.
- Εσφαλμένη διαμόρφωση ασφαλείας. Οι ρυθμίσεις ασφαλείας δεν είναι σωστά καθορισμένες, υλοποιημένες ή διατηρημένες, αφήνοντας τα συστήματα εκτεθειμένα σε επίθεση.
- Αποτυχίες στην αλυσίδα εφοδιασμού λογισμικού. Οι επιτιθέμενοι παραβιάζουν το λογισμικό κατά τη διάρκεια της κατασκευής, της διανομής ή των ενημερώσεων για να εισάγουν κακόβουλο κώδικα που διανέμεται σε πολλούς οργανισμούς.
- Αποτυχίες κρυπτογράφησης. Οι εφαρμογές αποτυγχάνουν να προστατεύσουν σωστά τα ευαίσθητα δεδομένα μέσω κρυπτογράφησης ή χρησιμοποιούν αδύναμους ή σπασμένους αλγόριθμους κρυπτογράφησης.
- Έγχυση. Μη αξιόπιστα δεδομένα υποβάλλονται ως μέρος μιας εντολής ή ερώτησης, εξαπατώντας την εφαρμογή να εκτελέσει ανεπιθύμητες εντολές ή να έχει πρόσβαση σε μη εξουσιοδοτημένα δεδομένα.
- Μη ασφαλής σχεδίαση. Η ασφάλεια δεν λήφθηκε σωστά υπόψη κατά τη φάση σχεδιασμού της εφαρμογής, με αποτέλεσμα την έλλειψη ή την αναποτελεσματικότητα των ελέγχων.
- Αποτυχίες αυθεντικοποίησης. Οι εφαρμογές αποτυγχάνουν να επαληθεύσουν σωστά την ταυτότητα των χρηστών ή να προστατεύσουν τα διαπιστευτήρια αυθεντικοποίησης και τα διακριτικά συνεδρίας.
- Αποτυχίες ακεραιότητας λογισμικού ή δεδομένων. Οι εφαρμογές αποτυγχάνουν να διατηρήσουν τα όρια εμπιστοσύνης και να επαληθεύσουν την ακεραιότητα του λογισμικού, του κώδικα και των δεδομένων.
- Αποτυχίες καταγραφής και ειδοποίησης ασφαλείας. Οι εφαρμογές αποτυγχάνουν να καταγράψουν γεγονότα σχετιζόμενα με την ασφάλεια ή να ειδοποιήσουν τις ομάδες ασφαλείας όταν συμβαίνουν ύποπτες δραστηριότητες.
Δείτε επίσης: Supply Chain Threat Protection: Νέα λύση ασφαλείας της SpyCloud
- Κακή διαχείριση εξαιρετικών συνθηκών. Οι εφαρμογές αποτυγχάνουν να διαχειριστούν σωστά τα σφάλματα, τις περιπτώσεις άκρων και τις ανώμαλες συνθήκες, οδηγώντας σε ευπάθειες ασφαλείας.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
