Aller au contenu principal

L'OWASP

L'OWASP, ou Open Web Application Security Project, est un organisme à but non lucratif qui œuvre pour améliorer la sécurité des logiciels.

https://owasp.org/

Chaque année, l'OWASP publie une liste des 10 vulnérabilités les plus critiques rencontrées dans les applications Web, appelée : Top 10 de l'OWASP.

Le top 10 de l'OWASP​

Le top 10 de l'OWASP est très utilisée par les professionnels de la sécurité pour évaluer et améliorer la sécurité de leurs applications.

Voici le Top 10 de l'OWASP de 2021 :

  1. Contrôles d'accès défaillants : Il s'agit de failles qui permettent à des utilisateurs non autorisés d'accéder à certaines fonctionnalités ou données.

  2. Défaillances cryptographiques : Ce point concerne les erreurs de mise en œuvre de la cryptographie qui peuvent conduire à une divulgation d'informations sensibles.

  3. Injection : Les attaques par injection se produisent lorsque des données non fiables sont envoyées à un interpréteur dans le cadre d'une commande ou d'une requête.

  4. Conception non sécurisée : Cette nouvelle catégorie englobe les erreurs de conception qui rendent l'application vulnérable.

  5. Mauvaise configuration de sécurité : Cela inclut les configurations par défaut non sécurisées, les configurations incomplètes ou les erreurs de configuration.

  6. Composants vulnérables et obsolètes : L'utilisation de composants avec des vulnérabilités connues peut rendre l'application vulnérable aux attaques.

  7. Identification et authentification de mauvaise qualité : Les systèmes d'authentification et de session mal conçus peuvent permettre à un attaquant de compromettre les mots de passe, les clés ou les jetons de session.

  8. Manque d'intégrité des données et du logiciel : Cette catégorie couvre les vulnérabilités qui permettent à un attaquant de modifier les données ou le logiciel.

  9. Carence des systèmes de contrôle et de journalisation : L'absence de surveillance et de journalisation adéquates peut empêcher la détection d'activités malveillantes.

  10. Falsification de requête côté serveur : Cette nouvelle catégorie couvre les attaques qui forcent le serveur à traiter des requêtes non autorisées.

https://owasp.org/Top10/fr/

Le top 10 de l'OWASP pour les LLM​

L'OWASP a également publié un top 10 des risques liés aux grands modèles de langage (LLM) comme ChatGPT. Voici les principaux risques identifiés :

  1. Données d'entraînement biaisées ou malveillantes : Les LLM peuvent apprendre des biais ou des informations incorrectes à partir de leurs données d'entraînement.

  2. Fuite d'informations sensibles : Les LLM peuvent involontairement divulg uer des informations sensibles présentes dans leurs données d'entraînement.

  3. Utilisation malveillante : Les LLM peuvent être utilisés pour générer du contenu malveillant, comme des deepfakes ou des campagnes de désinformation.

  4. Manque de transparence : Il peut être difficile de comprendre comment un LLM prend ses décisions, ce qui complique l'identification des erreurs ou des biais.

  5. Problèmes de sécurité liés à l'API : Les API utilisées pour accéder aux LLM peuvent présenter des vulnérabilités de sécurité.

  6. Dépendance excessive : Une dépendance excessive aux LLM peut entraîner une perte de compétences humaines et une diminution de la pensée critique.

  7. Problèmes de confidentialité : L'utilisation des LLM peut soulever des préoccupations en matière de confidentialité, notamment en ce qui concerne la collecte et le traitement des données utilisateur.

  8. Problèmes de propriété intellectuelle : L'utilisation des LLM peut soulever des questions de propriété intellectuelle, notamment en ce qui concerne le contenu généré par les modèles.

  9. Problèmes éthiques : L'utilisation des LLM soulève des questions éthiques, notamment en ce qui concerne la responsabilité et la transparence.

  10. Réglementation et conformité : Les LLM peuvent être soumis à des réglementations et des exigences de conformité, qui peuvent varier selon les juridictions.

https://genai.owasp.org/llm-top-10/

Test de mémorisation/compréhension​


Qu'est-ce que l'OWASP ?


Qu'est-ce qu'une attaque par 'Injection' ?


Qu'est-ce qu'un 'Contrôle d'accès défaillant' ?


Qu'est-ce qu'une 'Défaillance cryptographique' ?


Qu'est-ce que la 'Conception non sécurisée' ?


Que signifie 'Composants vulnérables et obsolètes' ?


Qu'est-ce que la 'Falsification de requête côté serveur' ?