Open Worldwide Application Security Project
Das Open Web Application Security Project (OWASP) ist eine Non-Profit-Organisation mit dem Ziel, die Sicherheit von Anwendungen und Diensten im World Wide Web zu verbessern. Durch Schaffung von Transparenz sollen Endanwender und Organisationen fundierte Entscheidungen über wirkliche Sicherheitsrisiken in Software treffen können.
An der OWASP-Community sind Firmen, Bildungseinrichtungen und Einzelpersonen aus aller Welt beteiligt. Innerhalb Gemeinschaft werden frei verfügbare Informationsmaterialen, Methoden, Werkzeuge und Technologien erarbeitet.
OWASP steht nicht mit Technologiefirmen in Verbindung, obgleich den bedachten Einsatz von Sicherheitstechnologie unterstützt. Die Verbindungen werden vermieden, um frei von organisationseitigen Zwängen zu sein. Dadurch wird es leichter unvoreingenommene, praxisnahe und wirtschaftliche Informationen über Applikationssicherheit bereitzustellen.
OWASP verfolgt den Ansatz, Informationssicherheit unter Berücksichtigungen der Beteiligten, Abläufe und Ausmaße der Technologie zu erreichen.
Projekte
Die OWASP Projekte sind weitgehend in zwei Hauptkategorien aufgeteilt: Entwicklungs- und Dokumentationsprojekte.
Das Dokumentationsprojekt besteht momentan aus:
- OWASP Application Security Verification Standard (ASVS – Ein Standard zur Durchführung von Sicherheitsverifizierungen auf Applikationsebene.
- The Guide – Dieses Dokument beinhaltet detaillierte Handlungsempfehlungen zur Web-Applikationssicherheit.
- Top Ten Most * DotNet – Eine vielzahl von Werkzeugen um Dot-Net Umgebungen abzusicheren.
- Enigform – Eine Zusammenstellung aus beispielhaften Endgerät- und Serverseitigen Anwendungen, mit der OpenPGP-Funktionen (u.a. Verschlüsselung, Signierung) im HTTP-Protokoll zu realisieren.
- ESAPI – OWASP Enterprise Security API (ESAPI) Project – Eine freie und offene Sammlung von Methoden, die benötigt werden, um sichere Webapplikationen zu erstellen.
- AntiSamy – Ein Werkzeug zur Validierung von Eingaben im Web und Enkodierung des Ergebnisses.
- XSSer - Ein automatisches System zum Erkennen, Ausnutzen und Melden von Cross-Site Scripting-Schwachstellen in Webapplikationen.
- Webgoat - Eine absichtlich unsichere Webanwendungen, hergestellt von OWASP als eine Anleitung für sichere Programmiermethoden.
- WebScarab - Ein http und https Proxy Server der genutzt werden kann um Inhalte von Datenpaketen zu ändern, prüfen und die Übertragung zu unterbrechen. Dies bietet dem Anwender ein besseres Verständnis dafür, welche Informationen vom Webserver übermittelt werden und kann genutzt werden um mögliche Verwunbarkeiten aufzudecken.
- OWASP Mantra Security Framework Eine Sammlung von Hacker-Werkzeugen, Erweiterungen und Skripten basierend auf Mozilla Firefox
Organisation
OWASP hat fünf Angestellte und sehr geringe Ausgaben, welche durch Konferenzen, Sponsorings und Werbebanner abgedeckt werden. Es werden jährlich tausende US-Dollar an Prämien als Zuschüsse für vielversprechnde Applikations-Sicherheits-Forschungsprojekte ausgezahlt.