OWASP ASVS: Application Security Verification Standard

La Application Security Verification Standard (ASVS) è un framework di requisiti di sicurezza per le applicazioni web. Fornisce tre livelli di verifica (L1, L2, L3) e oltre 200 controlli di sicurezza dettagliati, organizzati in capitoli che coprono tutti gli aspetti della sicurezza delle applicazioni.

L1 si applica a tutte le applicazioni e comprende i controlli di sicurezza di base. L2 è destinato alle applicazioni che gestiscono dati sensibili e comprende la maggior parte dei requisiti. L3 è destinato alle applicazioni ad alta garanzia (finanziarie, sanitarie) che richiedono la verifica più rigorosa. La maggior parte dei team punta a L2.

ASVS V1 richiede un'architettura di sicurezza documentata, un modello delle minacce, confini di fiducia documentati e la separazione dei componenti in base alla sensibilità. Le revisioni dell'architettura individuano i difetti sistemici prima che diventino problemi diffusi di implementazione.

V2 copre i requisiti delle password (lunghezza minima, verifica delle password compromesse, hashing sicuro), la gestione delle sessioni, i requisiti per l'autenticazione a più fattori, la sicurezza del recupero delle credenziali e la protezione dagli attacchi di forza bruta.

Le sessioni devono usare token crittograficamente casuali e di lunghezza sufficiente, essere invalidate al logout e alla scadenza, essere protette dalla session fixation e, ove applicabile, i cookie devono usare gli attributi Secure, HttpOnly e SameSite=Strict.

Ogni accesso a una risorsa deve essere autorizzato lato server. ASVS V4 richiede di negare l'accesso per impostazione predefinita, prevenire il directory traversal e l'escalation verticale e orizzontale dei privilegi e registrare le decisioni relative al controllo degli accessi.

V5 copre la prevenzione di ogni tipo di injection: query parametrizzate per SQL, prevenzione della command injection, analisi sicura dell'XML (prevenzione di XXE), HTTP header injection e codifica dell'output sensibile al contesto per prevenire XSS.

Le applicazioni non devono esporre agli utenti stack trace o percorsi interni. Gli eventi di sicurezza (autenticazioni non riuscite, violazioni del controllo degli accessi, errori di convalida degli input) devono essere registrati con dettagli sufficienti per analizzare gli incidenti, senza registrare dati sensibili.

I dati sensibili devono essere identificati e classificati. I segreti e i dati personali (PII) devono essere cifrati a riposo e in transito. Cache e file temporanei non devono contenere dati sensibili. I dati devono essere eliminati quando non sono più necessari, in conformità con i criteri di conservazione.

Usi ASVS come checklist dei requisiti durante lo sviluppo, come piano di test durante i test di sicurezza e come framework di audit durante le verifiche di conformità. Assegni i controlli ASVS ai team, ne monitori il completamento nello strumento di gestione del progetto e documenti le evidenze di conformità.

ASVS si mappa a NIST 800-53, ISO 27001 e PCI-DSS. Usare ASVS come baseline di sicurezza delle applicazioni semplifica la conformità, poiché i controlli soddisfano simultaneamente i requisiti di più framework, riducendo le attività di valutazione duplicate.

OWASP ASVS fornisce un framework completo e strutturato di requisiti di sicurezza per autenticazione, gestione delle sessioni, controllo degli accessi, prevenzione delle injection, protezione dei dati e altro ancora. Riunisce in un unico standard i requisiti di sicurezza, le indicazioni per l'implementazione e le evidenze di conformità.