OWASP ASVS : norme de vérification de la sécurité des applications

L'Application Security Verification Standard (ASVS) est un cadre d'exigences de sécurité pour les applications Web. Il fournit trois niveaux de vérification (L1, L2, L3) et plus de 200 contrôles de sécurité détaillés, organisés en chapitres couvrant tous les aspects de la sécurité des applications.

L1 s'applique à toutes les applications et impose les contrôles de sécurité de base. L2 concerne les applications qui traitent des données sensibles et couvre la plupart des exigences. L3 s'adresse aux applications nécessitant un haut niveau de garantie (finance, santé) et exige la vérification la plus rigoureuse. La plupart des équipes visent le niveau L2.

ASVS V1 exige une architecture de sécurité documentée, un modèle de menace, des limites de confiance documentées et une séparation des composants selon leur niveau de sensibilité. Les revues d'architecture permettent de détecter les défauts systémiques avant qu'ils ne se transforment en problèmes d'implémentation généralisés.

V2 couvre les exigences relatives aux mots de passe (longueur minimale, vérification par rapport aux mots de passe compromis, hachage sécurisé), la gestion des sessions, les exigences d'authentification multifacteur, la sécurité de la récupération des identifiants et la protection contre les attaques par force brute.

Les sessions doivent utiliser des jetons cryptographiquement aléatoires d'une longueur suffisante, être invalidées lors de la déconnexion et à l'expiration du délai, être protégées contre la fixation de session, et les cookies doivent utiliser les attributs Secure, HttpOnly et SameSite=Strict lorsque cela s'applique.

Chaque accès à une ressource doit être autorisé côté serveur. ASVS V4 exige un refus par défaut, la prévention de la traversée de répertoires, la prévention des élévations de privilèges verticales et horizontales, ainsi que la journalisation des décisions de contrôle d'accès.

V5 couvre la prévention de toutes les injections : requêtes paramétrées pour SQL, prévention des injections de commandes, analyse sûre de XML (prévention des XXE), injections d'en-têtes HTTP et encodage de la sortie adapté au contexte pour prévenir les XSS.

Les applications ne doivent pas révéler aux utilisateurs de traces de pile ni de chemins internes. Les événements de sécurité (échecs d'authentification, violations du contrôle d'accès, échecs de validation des entrées) doivent être journalisés avec suffisamment de détails pour enquêter sur un incident, sans journaliser de données sensibles.

Les données sensibles doivent être identifiées et classifiées. Les secrets et les PII doivent être chiffrés au repos et en transit. Les caches et les fichiers temporaires ne doivent pas stocker de données sensibles. Les données doivent être supprimées lorsqu'elles ne sont plus nécessaires, conformément aux politiques de conservation.

Utilisez l'ASVS comme liste de contrôle des exigences pendant le développement, comme plan de test lors des tests de sécurité et comme cadre d'audit lors des revues de conformité. Attribuez les contrôles ASVS aux équipes, suivez leur achèvement dans votre outil de gestion de projet et documentez les éléments prouvant la conformité.

L'ASVS correspond aux normes NIST 800-53, ISO 27001 et PCI-DSS. Utiliser l'ASVS comme référence de sécurité des applications simplifie la conformité, car ses contrôles satisfont simultanément les exigences de plusieurs cadres et réduisent les efforts d'évaluation redondants.

OWASP ASVS fournit un cadre complet et structuré d'exigences de sécurité couvrant l'authentification, la gestion des sessions, le contrôle d'accès, la prévention des injections, la protection des données et bien plus encore. Il relie les exigences de sécurité, les recommandations d'implémentation et les éléments de preuve de conformité au sein d'une même norme.