Discussion :

[Hinault Romaric]

Mozilla développe un framework gratuit de tests de sécurité pour le Web
la bêta de Minion sera disponible au premier trimestre 2013

L’équipe en charge de la sécurité informatique au sein de la fondation Mozilla travaille sur un framework open source de tests de sécurité automatisés pour les applications Web.

Baptisé Minion, ce framework de tests est construit, selon la fondation Mozilla, pour combler le fossé entre les développeurs et les testeurs de sécurité. Pour cela, Minion permettra aux développeurs d’analyser leurs projets à partir d’une interface Web conviviale.

Il pourra être utilisé pour tester la sécurité tout le long du cycle de développement d’une application ou d’un service Web, afin que le développeur soit conscient des problèmes le plus tôt possible.

Le projet implémente des outils de tests d’applications comme : OWASP Zed Attack Proxy (ZAP), une solution intégrée de tests et de pénétration pour trouver les vulnérabilités dans les applications Web ; Skipfish, le scanner de vulnérabilités Web Open Source ; Nmap, un scanner de ports open source ou encore Garmr, l’outil de tests de sécurité de la fondation Mozilla.

Les données générées au cours des tests pourront être recueillies et analysées par les développeurs. Pour empêcher les pirates d’utiliser le framework pour analyser les failles des sites Web, le service vérifiera pour chaque test si les propriétaires sont effectivement à l’origine de la demande.

Par ailleurs, Minion devra être « très très sécurisé », car il contiendra des données sensibles comme des informations sur les problèmes de sécurité les plus répandus.

La fondation Mozilla envisage de publier une bêta de Minion au cours du premier trimestre de cette année. Le framework sera utilisé par l’organisme en interne sur ses propres applications Web et sera disponible également comme un service.

Le Wiki du projet

La vidéo de présentation

Source : Mozilla


Et vous ?

Que pensez-vous de Minion ?

[raimbow]

Pour empêcher les pirates d’utiliser le Framework pour analyser les failles des sites Web, le service vérifiera pour chaque test si les propriétaires sont effectivement à l’origine de la demande.

Totalement inutile puisque le produit est open source, non ?

[Uther]

S'il suffisait changer deux ligne dans le code pour faire tomber la protection, ca ne serait pas une protection. Les gens de chez Mozilla ne sont pas idiots.

Je suppose que c'est fait coté serveur et que l'on ne pourra donc y avoir accès (a moins bien sur que le serveur ait déjà été piraté.)

[Aurelien Plazzotta]

Le produit marche sur les plate-bandes des testeurs en sécurité, ce qui va légèrement diminuer l'attrait des entreprises pour ce genre de postes.

Je ne suis pas contre l'innovation hein, c'est une simple observation

[raimbow]

Que ça soit ZAP, Skipfish, Nmap ou Garmr, ce sont pas des outils qui analysent le code, ils agissent comme de simple "visiteur", autrement dis il n'y a pas besoin de droit spécifique côté serveur pour lancer ces outils.

A partir de là, je vois pas trop ce qu'ils peuvent "bloquer" sans que ça soit utilisable sans l'autorisation du serveur.

[Samuel_]

Le produit marche sur les plate-bandes des testeurs en sécurité, ce qui va légèrement diminuer l'attrait des entreprises pour ce genre de postes.

Je ne pense pas qu'un simple Framework en bêta peut remplacer une personne avec ses compétences et son expérience.

Mais sinon l'idée de ce Framework est bonne, surtout pour les développement perso et les petites entreprises.

[LSMetag]

Ca peut être sympa pour faire une première (ou dernière) passe de vérification de sécurité. Moi je prends.

[leminipouce]

En plus d'être un super point positif pour tous les dév qui sont fait sans financement sur l'aspect sécurité, c'est aussi un super point de départ pour se sensibiliser et s'informer sur les problématiques de sécurité.

Je prends !

[yassiin]

je pense que le framework va faire la même chose que detectify qui propose un service pour faire un scan de votre site pour y trouver d'éventuels exploits !

[andry.aime]

En parlant de minion, j'ai pensé à eux.

[Clorge]

rien ne vaudras jamais l'audit d'un humain, il y plein de façons de tromper un bot de scan dans son application web.
De plus dans le meilleur des mondes où le bot trouve toutes les failles, comment celui qui ne s'y connait pas interprète les résultats ?
XSS volotille == mon site vas se faire pirater :O :peur:
SQL == bof.. ça doit etre comme une xss, c'est pas bien grave

nikto , nessus, nmap sont déjà là, et encore une fois , faut bien distinguer la detection de la correction des failles (sans compter l'audit plus approfondi de l'apl)

BOT : http://site.tld/index.html == Arf... site statique aucune faille (dommage il y avais ça dans l'htaccess AddType application/x-httpd-php .html)
M'enfin, encore un piège à con pour ceux qui croient qu'il n'existe que deux état de sécurité, true || false mais bon, tant mieux, ça fait des places sur le marché du travail

[Cedric Chevalier]

Mozilla s’associe à BlackBerry pour renforcer la sécurité des navigateurs
Et publie Minion l’outil de test automatisé de la sécurité des applications pour tous

À travers le fruit de sa collaboration avec BlackBerry pour la conception de Peach, ainsi que la sortie de la plateforme open source de test de sécurité des applications web Minion 0.3, Mozilla renforce son ambition de faire un Web ouvert, innovant, mais surtout plus sûr.

Qu'est-ce que Peach ? Peach est un système automatisé de test de sécurité d’application basé sur le principe de « Fuzzing », qui a pour objectif d’injecter des données aléatoires dans une application spécifique dans le but de pousser cette dernière à se comporter de façon inattendue. Le « Fuzzing » est une méthode simple et puissante utilisable dans la détection des bogues, des vulnérabilités logicielles qui sont ainsi adressables bien avant même que les utilisateurs n’y soient exposés.

Les outils comme Peach sont certes très puissants, mais ils requièrent l’expertise des professionnels de la sécurité pour la bonne compréhension des résultats des tests qu’ils génèrent. La plateforme Minion à l’inverse mise sur la simplicité. Elle permettra à tous, expert en sécurité ou non, d’optimiser la sécurité de leurs applications. Débuté l’année dernière, Minion est encore en développement. Cet outil a de beaux jours devant lui et promet à l’avenir l’ajout de nombreuses fonctionnalités.

Par ailleurs, l'équipe de développement tient à préciser que Minion est une plateforme et non un outil de sécurité. De ce fait, les développeurs devront l’ajouter via des outils complets et externes utilisés dans le domaine de la sécurité comme Nmap et bien d'autres.



Télécharger Peach

Téléchargez la machine virtuelle Minion

Source : Mozilla

Et vous ?

Quelle(s) solution(s) de tests d'applications utilisez-vous en entreprise ?

Utiliserez-vous l'une des solutions de Mozilla pour la même tâche ?

[negstek]

vivement la création d'un tuto sur l'utilisation de ces logiciels et les bonnes pratiques pour sécuriser son site web