Merci d'avoir envoyé votre demande ! Un membre de notre équipe vous contactera sous peu.
Merci d'avoir envoyé votre réservation ! Un membre de notre équipe vous contactera sous peu.
Plan du cours
1. Sécurité des TI et codage sécurisé
- Principes fondamentaux de la sécurité : Confidentialité, Intégrité et Disponibilité (CID) dans le contexte des applications Java.
- Cycle de vie du développement logiciel sécurisé (SSDLC) : Intégration de la sécurité depuis les exigences jusqu'au déploiement.
- Paradigmes de codage sécurisé : Défense en profondeur, privilège minimal et valeurs par défaut sécurisées (fail-safe).
- Classifications standard des vulnérabilités : Compréhension de la CWE (Common Weakness Enumeration) et de l'OWASP.
2. Sécurité des applications web
- Analyse approfondie du Top 10 de l'OWASP : Analyse détaillée des injections, de l'authentification cassée et de l'exposition de données sensibles.
- Injection cross-site (XSS) : Scénarios de XSS réfléchi, stocké et basé sur le DOM en Java/JSP.
- Forgery de requête entre sites (CSRF) : Mécanismes d'attaque et implémentation de jetons anti-CSRF.
- Gestion de session : Sécurité des cookies, fixation de session et gestion des délais d'expiration.
- Sécurité des API : Sécurisation des points d'accès REST et SOAP contre les abus.
3. Sécurité des services web
- Services web vs. Applications web traditionnelles : Différences dans les surfaces d'attaque.
- Sécurité de la couche transport : Configuration SSL/TLS pour les clients et serveurs Java.
- Sécurité des messages : Intégrité et confidentialité au niveau de la charge utile (payload).
- Standards d'authentification : Implémentation d'OAuth 2.0, OpenID Connect et JWT (JSON Web Tokens).
4. Sécurité XML
- Vulnérabilités de l'analyse XML : Prévention des attaques par entités externes XML (XXE).
- Validation des schémas XML : Bonnes pratiques pour l'application stricte des schémas.
- Signatures numériques XML : Implémentation de signatures pour assurer la non-répudiation.
- Chiffrement XML : Approches standard pour le chiffrement du contenu XML.
5. Fondements de la sécurité Java
- Architecture de sécurité Java : Le paquet
java.securityet l'architecture des fournisseurs (providers). - Fournisseurs de sécurité : Installation et configuration de fournisseurs tels que Bouncy Castle.
- Contrôle d'accès : Fichiers de politique, Permissions et le Security Manager (légacy vs moderne).
- Gestion des KeyStores : Création et gestion des keystores et truststores pour les certificats.
6. Cryptographie pratique
- Algorithmes cryptographiques : Aperçu des algorithmes symétriques (AES), asymétriques (RSA, ECC) et de hachage (SHA-256/512).
- Génération de nombres aléatoires : Les dangers de
java.util.Randompar rapport àjava.security.SecureRandom. - Gestion des clés : Stratégies de génération, de stockage et de rotation des clés.
- Java Cryptography Architecture (JCA) : Utilisation des classes
Cipher,MessageDigestetMac. - Java Cryptography Extension (JCE) : Compréhension des fichiers de politique et de la juridiction à force illimitée (unlimited strength).
7. Services de sécurité Java
- SSL/TLS en Java : Utilisation de
SSLSocketFactoryetHttpsURLConnection. - Gestionnaires de confiance : Personnalisation de la vérification de la confiance pour les environnements PKI privés.
- Authentificateurs : Authentification programmatique à l'aide de
Authenticator.getDefault(). - Analyse des certificats : Lecture et analyse programmatique des certificats X.509.
8. Sécurité Java EE
- Sécurité déclarative : Contrôle d'accès basé sur les rôles (RBAC) à l'aide de
web.xmlet des annotations. - Sécurité programmatique : Utilisation de
HttpServletRequest.isUserInRole()etgetRemoteUser(). - JAAS (Java Authentication and Authorization Service) : Configuration de
login.confet implémentation desLoginModule. - Sécurité des Servlets : Contraintes de sécurité gérées par le conteneur et méthodes d'authentification (FORM, BASIC, DIGEST).
9. Erreurs de codage courantes et vulnérabilités
- Déserialisation non sécurisée : Les risques de
ObjectInputStreamet le contournement des vérifications de sécurité. - Injection de commandes : Atténuation des vulnérabilités d'exécution au niveau du système d'exploitation.
- Traversée de chemin (Path Traversal) : Sanitisation des entrées du système de fichiers pour empêcher la traversée de répertoires.
- Abus de réflexion : Risques associés à
java.lang.reflectet le contournement du contrôle d'accès. - Identifiants codés en dur : Identification et suppression des secrets dans le code source.
- Erreurs d'implémentation cryptographique : Utilisation du mode ECB, de clés faibles ou d'IV statiques.
10. Sources de connaissances
- Outils d'analyse statique : Utilisation de SonarQube, Checkmarx et Fortify pour le balayage automatisé.
- Outils d'analyse dynamique : Aperçu de Burp Suite et OWASP ZAP.
- Bases de données CVE : Comment suivre et réagir aux nouvelles vulnérabilités du framework Java.
- Lectures recommandées : Liste de livres, de documentation et de listes de contrôle pour le codage sécurisé.
Pré requis
Aucun.
21 Heures
Nos clients témoignent (4)
les connaissances du formateur étaient très élevées - il savait de quoi il parlait et avait les réponses à nos questions
Adam - Fireup.PRO
Formation - Advanced Java Security
Traduction automatique
Exercices pratiques
Olek - Fireup.PRO
Formation - Advanced Java Security
Traduction automatique
exercices de codage
Mirek - Fireup.PRO
Formation - Advanced Java Security
Traduction automatique
Cela ouvre beaucoup et donne de nombreuses perspectives sur la sécurité
Nolbabalo Tshotsho - Vodacom SA
Formation - Advanced Java Security
Traduction automatique