OWASP Top 10

Kurz: Die OWASP Top 10 sind eine Liste der zehn häufigsten und gefährlichsten Sicherheitsrisiken in Webanwendungen, herausgegeben von der gemeinnützigen Organisation OWASP.

Genauer: Sie dient als Einstieg für Entwicklerinnen und Entwickler und als Prüfgrundlage für Sicherheitstests. Die Liste wird alle paar Jahre aktualisiert. Die Ausgabe von 2021 enthält unter anderem fehlerhafte Zugriffskontrolle, kryptografische Fehler, Injection, unsicheres Design, Fehlkonfiguration und veraltete Komponenten.

Im Detail

1. Fehlerhafte Zugriffskontrolle: Nutzer können Daten sehen oder ändern, die sie nicht dürften.
2. Kryptografische Fehler: Fehlende oder schwache Verschlüsselung.
3. Injection: Eingaben werden als Befehle ausgeführt (SQL-Injection, XSS (Cross-Site Scripting)).
4. Unsicheres Design: Sicherheit wurde nicht mitgeplant.
5. Sicherheitsfehlkonfiguration: Standardpasswörter, offene Verwaltungsseiten, ausführliche Fehlermeldungen.
6. Verwundbare und veraltete Komponenten: Abhängigkeiten und Sicherheitslücken (CVE).
7. Identifikations- und Authentifizierungsfehler: Schwache Passwörter, fehlende 2FA.
8. Fehler bei Software- und Datenintegrität: Unsichere Updates, Lieferkette.
9. Fehlendes Logging und Monitoring.
10. Server-Side Request Forgery (SSRF): Der Server wird dazu gebracht, interne Adressen abzurufen.

Siehe auch: CSRF (Cross-Site Request Forgery), Security-Header (HSTS, CSP und weitere)