Security for Developers

Cursul Security for Developers este conceput pentru dezvoltatori și profesioniști IT care doresc să înțeleagă principalele riscuri de securitate asociate aplicațiilor moderne și să învețe cum pot integra măsuri de protecție încă din etapa de dezvoltare. Cu o durată de două zile și un nivel intermediar, trainingul urmărește să transforme securitatea aplicațiilor dintr-o etapă realizată exclusiv la finalul procesului de dezvoltare într-o responsabilitate integrată în întregul ciclu de viață software. Tematica include securitatea aplicațiilor web și mobile, vulnerabilitățile OWASP, măsuri tehnice de protecție, HTTP Security Headers, JSON Web Tokens și principii de secure coding.

Unul dintre cele mai importante principii ale cursului este ideea de security by design. Securitatea unei aplicații nu ar trebui verificată doar înainte de lansare, când eventualele probleme sunt deja costisitoare de remediat. Practicile de dezvoltare securizată trebuie introduse încă din etapa de proiectare și continuate pe parcursul implementării, testării, deployment-ului și mentenanței. AWS recomandă explicit instruirea echipelor de dezvoltare în practici de secure development și utilizarea threat modeling-ului pentru identificarea timpurie a riscurilor.

Un punct de plecare esențial îl reprezintă înțelegerea modului în care aplicațiile pot fi atacate. Cursul abordează OWASP Top 10, una dintre cele mai cunoscute referințe pentru riscurile de securitate ale aplicațiilor web. Participanții pot înțelege clase de vulnerabilități precum controlul deficitar al accesului, injection, identificarea și autentificarea incorectă, configurările nesigure sau problemele legate de componente software vulnerabile. Scopul nu este doar recunoașterea denumirilor, ci înțelegerea mecanismelor prin care o vulnerabilitate poate apărea și a măsurilor care pot preveni exploatarea acesteia.

Un dezvoltator trebuie să poată analiza securitatea aplicației din perspectiva întregului flux de date. De exemplu, informațiile primite de la utilizator trebuie validate înainte de a fi utilizate, iar datele generate de aplicație trebuie protejate atunci când sunt transmise, procesate sau stocate. Această perspectivă este fundamentală pentru prevenirea unor vulnerabilități precum injection, cross-site scripting sau manipularea necorespunzătoare a parametrilor. Secure coding presupune, astfel, mai mult decât scrierea unui cod care funcționează: înseamnă anticiparea modurilor în care acel cod ar putea fi utilizat în mod abuziv.

O componentă importantă este reprezentată de web penetration testing. Participanții sunt introduși în modul în care aplicațiile pot fi evaluate din perspectiva unui atacator și în tipurile de probleme care pot fi descoperite prin testare. Penetrarea nu trebuie privită exclusiv ca o activitate realizată de o echipă externă de securitate, ci și ca o sursă de feedback pentru dezvoltatori. Înțelegerea modului în care un atacator identifică și exploatează o problemă îi permite dezvoltatorului să construiască mecanisme de protecție mai eficiente.

Cursul abordează și măsurile tehnice și best practices care pot fi utilizate pentru reducerea suprafeței de atac. Acestea pot include validarea și sanitizarea datelor, controlul accesului, gestionarea corectă a sesiunilor, protejarea endpoint-urilor și configurarea sigură a componentelor aplicației. O abordare matură presupune combinarea mai multor controale, deoarece nicio singură măsură de securitate nu poate elimina toate riscurile unei aplicații.

Un capitol dedicat este cel al HTTP Security Headers, care reprezintă un mecanism important pentru consolidarea securității aplicațiilor web. Header-ele HTTP pot transmite browserului instrucțiuni privind modul în care trebuie tratate anumite tipuri de conținut și conexiuni. Configurarea corectă poate contribui la reducerea riscului unor atacuri și la impunerea unor politici de securitate la nivelul clientului. Pentru dezvoltatori, aceste mecanisme sunt importante deoarece securitatea aplicației nu se oprește la codul executat pe server, ci include și interacțiunea dintre browser, frontend și backend.

Un alt subiect relevant este JSON Web Token (JWT) și utilizarea token-urilor în mecanismele moderne de autentificare și autorizare. Participanții pot înțelege rolul token-urilor în aplicațiile distribuite și API-uri, precum și riscurile asociate gestionării incorecte a acestora. JWT poate fi util pentru transmiterea informațiilor de autentificare între componente, însă implementarea trebuie să țină cont de protejarea token-urilor, expirarea lor, validarea semnăturilor și delimitarea clară dintre autentificare și autorizare.

Tematica se extinde și către aplicațiile mobile, pentru care modelul de securitate diferă în anumite privințe de cel al aplicațiilor web. Sunt abordate vulnerabilitățile asociate aplicațiilor mobile și principiile care pot fi aplicate pentru reducerea riscurilor. Aplicațiile mobile trebuie să trateze cu atenție datele stocate local, comunicațiile cu serverele, autentificarea, gestionarea token-urilor și expunerea API-urilor. În plus, trebuie presupus că mediul clientului nu poate fi controlat în aceeași măsură ca infrastructura server-side.

O direcție importantă a dezvoltării moderne este integrarea securității direct în Software Development Lifecycle. În loc ca echipa de dezvoltare să finalizeze aplicația și să o trimită ulterior către securitate, verificările pot fi introduse gradual în procesul de dezvoltare și în pipeline-urile CI/CD. AWS prezintă Security for Developers ca exemplu de integrare a testării automate de tip SAST și DAST în procesele de release, împreună cu analiza componentelor software și verificările de securitate.

SAST, sau Static Application Security Testing, analizează codul sau artefactele aplicației fără a fi necesară executarea acesteia și poate identifica probleme înainte ca acestea să ajungă în producție. DAST, sau Dynamic Application Security Testing, analizează aplicația în execuție și poate identifica vulnerabilități care devin vizibile doar atunci când componentele interacționează într-un mediu funcțional. Împreună, aceste tehnici pot oferi feedback în mai multe etape ale procesului de dezvoltare.

Un alt concept important este Software Composition Analysis (SCA). Aplicațiile moderne sunt rareori construite exclusiv din cod scris de echipa internă. Framework-urile, bibliotecile și pachetele open-source pot introduce vulnerabilități sau riscuri de licențiere. Analiza dependențelor permite identificarea componentelor utilizate și evaluarea riscurilor asociate acestora. Într-un proces matur, aceste verificări pot fi automatizate și integrate în pipeline-ul de dezvoltare, astfel încât problemele să fie detectate înainte de deployment. AWS recomandă inclusiv utilizarea Software Bill of Materials pentru înțelegerea componentelor și a relațiilor dintre acestea și pentru gestionarea riscurilor din software supply chain.

Security for Developers este relevant și prin faptul că poziționează securitatea ca o responsabilitate comună a echipelor care construiesc aplicațiile. În mediile cloud, modelul shared responsibility înseamnă că furnizorul protejează infrastructura cloud, în timp ce clientul rămâne responsabil pentru securitatea resurselor și aplicațiilor pe care le implementează. Pentru dezvoltatori, acest lucru înseamnă că alegerea serviciilor, configurarea aplicațiilor, gestionarea identităților, protejarea datelor și implementarea controalelor de securitate fac parte din responsabilitatea tehnică a echipei.

Cunoștințele de securitate dezvoltate în acest curs pot fi extinse ulterior către autentificare, autorizare, criptare și protejarea datelor în aplicații cloud. În ecosistemul AWS, aceste subiecte includ tehnologii precum IAM, Amazon Cognito, AWS Key Management Service și servicii de gestionare a secretelor. Pentru dezvoltatori, obiectivul este să poată implementa autentificare și autorizare corectă, să protejeze datele în tranzit și la rest și să evite introducerea secretelor direct în cod. Aceste competențe sunt, de altfel, parte din domeniul Security al certificării AWS Certified Developer – Associate.

Pentru participare sunt recomandate cunoștințe de secure coding, ceea ce indică faptul că trainingul nu este destinat persoanelor care pornesc complet de la zero în dezvoltarea software. Nivelul intermediar permite concentrarea asupra problemelor specifice aplicațiilor și asupra modului în care principiile de securitate pot fi aplicate în cod și în procesele de dezvoltare. Cursul este potrivit pentru dezvoltatori, software engineers și alte roluri tehnice care participă direct la construirea și întreținerea aplicațiilor.