Was kann ich in 10 Stunden / 5 Massnahmen bewirken, um die Sicherheit einer bestehenden Web Applikation zu erhöhen.

1. 5 SECURITY THINGS TO DO AS A DEVELOPER
Dietrich Rordorf

2. Security in 15 Minuten erklärt??
Geht nicht. !

3. GEDANKENEXPERIMENT
Mein Kunde möchte die Sicherheit seiner Web
Applikation erhöhen.
Sein knappes Budget gibt nur 10 Stunden her.
Was mache ich?
10h

4. Zunächst mein Vorschlag
Anstatt Q&A à Eure Vorschläge?

5. 10h
1Massnahme
Coffee-Level
☕

6. 1 / KEINE HARDCODED SECRETS
↣ Config Dateien und Deploy-Scripte prüfen
↣ Passwörter mit ENV-Variablen ersetzen
↣ In PHP auslesen mit getenv( )
DB_HOST=localhost
DB_USER=my_db_user
DB_PASSWORD=my_db_password
DB_APP_NAME=my_app_db
$resource = new PDO(
sprintf(
"mysql:host=%s;dbname=%s",
getenv('DB_HOST'),
getenv('DB_APP_NAME')
),
getenv('DB_USER'),
getenv('DB_PASSWORD')
);
8h
2h

7. 1 / KEINE HARDCODED SECRETS
8h
↣ Wer hat Zugriff auf mein Repo?
↣ Ist mein Repo sicher?
↣ GitHub Apps / Integrationen
RATIONALE

8. 2Massnahme
8h
☕Coffee-Level
☕

9. 2 / MYSQL HARDENING
↣ Remote-Zugriff sperren
↣ Validate Password Plugin
↣ Strenge Password Requirement Policy
↣ Alle Passwörter neu setzen
↣ Überflüssige Datenbank-Users löschen
↣ Überflüssige Privilegien entziehen
7.5h
0.5h

10. 2 / MYSQL HARDENING
7.5h
↣ Datenbestand wertvollster Teil einer App
↣ Remote Schreib- oder Root-Zugriff überflüssig
RATIONALE
🤑

11. 3Massnahme
7.5h
☕Coffee-Level
☕

12. 3 / PHPMYADMIN HARDENING
↣ Subdomain einrichten
↣ SSL-Verbindung
↣ root Login sperren
↣ Eigener Datenbank-User einrichten für PMA (read-only)
↣ IP Ranges limitieren
6h
1.5h

13. 3 / PHPMYADMIN HARDENING
6h
↣ Wir haben es alle im Einsatz
↣ Komfortabel zum Debuggen
↣ Auf prod Umgebung ein trojanisches Pferd
RATIONALE
😱

14. 4Massnahme
☕Coffee-Level
☕
6h
☕

15. 4 / KNOWN VULNERABILITIES
↣ Moderne Apps haben Dependencies
↣ Paket-Manager: composer, npm
↣ Anfällige Pakete
↣ Dependencies-Scanner wie snyk.io
↣ Snyk GitHub-Integration: Pull Request mit Fixes für
composer.json oder package.json
4h
2h

16. 4 / KNOWN VULNERABILITIES
4h
↣ Attack-Vektor für Hacker bereits bekannt
↣ Paketversionen haben Signaturen oder hinterlassen „Spuren“ im
HTML (speziell JS Libs im Frontend)
↣ Web App als Target identifizierbar
RATIONALE

17. 5Massnahme
☕Coffee-Level
☕ ☕
4h
☕ ☕

18. 5 / CODE REVIEW
↣ ohne Anhaltspunkte unrealistisch
↣ OWASP Code Review Guide: 216 Seiten
↣ Lösung: Static Code Analysis
↣ SonarCloud (PHP, JS und mehr) + sonnar-scanner
↣ phpcs-security-audit
0h
4h
🙈

19. 5 / CODE REVIEW
0h
4h
↣ Nach OWASP & SANS Tags filtern, Critical oder Blocker

20. 5 / CODE REVIEW
0h
↣ Eigene Schwachstellen beseitigen
RATIONALE

21. Tag ist fertig
☕Coffee-Level
☕ ☕
0h
☕ ☕ 🍺 🍺

22. SURVEY
Problem Kennen Problem nicht Kennen Problem
1 / Hardcoded Secrets 4 16
2 / MySQL Hardening 8 12
3 / PMA Hardening 7 13
4 / Known Vulnerabilities 6 14
5 / Code Review 3 17
Anzahl Devs n = 20

23. DANKE !
Dietrich Rordorf
GitHub github.com/rordi
Work ditoy.com
Side hustles ediqo.com und teacherflow.ch