La OWASP Top 10 è una classifica, pubblicata da una fondazione indipendente e aggiornata ogni pochi anni sulla base di dati reali, dei dieci difetti di sicurezza più diffusi e sfruttati nelle applicazioni web. È il punto di riferimento di chi valuta la sicurezza di un'applicazione. Nell'edizione 2021 il primo posto non è occupato da un virus, ma dal «controllo degli accessi rotto»: utenti che arrivano a dati o funzioni che non gli spettano.
Chi la fa e perché conviene fidarsi
OWASP è una fondazione indipendente e senza scopo di lucro che si occupa di sicurezza del software. La sua classifica non nasce da opinioni ma da dati raccolti su migliaia di applicazioni reali: per questo è diventata il riferimento comune. Quando un report di sicurezza o un questionario di un cliente cita la OWASP Top 10, si riferisce a questa lista.
| Difetto | In parole semplici |
|---|---|
| Controllo degli accessi rotto | Un utente arriva dove non dovrebbe: il numero uno |
| Errori di configurazione | Pannelli aperti, password di default, errori troppo loquaci |
| Componenti vulnerabili e obsoleti | Librerie vecchie con falle già pubblicate |
| Errori di autenticazione | Login senza limiti, sessioni che non scadono |
| Iniezione | Dati dell'utente eseguiti come comandi |
Perché il primo posto dice molto
Che al vertice ci sia il controllo degli accessi rotto, e non un attacco sofisticato, racconta una verità sulla sicurezza: il difetto più diffuso e dannoso non è tecnico, è una dimenticanza di significato. L'applicazione sa chi siete ma non verifica che il dato che chiedete sia vostro. È il difetto del cliente che vede i documenti di un altro, ed è comune proprio perché il controllo va ripetuto in ogni punto e basta dimenticarne uno.
Domande frequenti
- La OWASP Top 10 vale anche per un'app piccola?
- Sì, e soprattutto per le app piccole, perché i difetti nascono dagli stessi errori di ragionamento a prescindere dalle dimensioni. Un'app piccola ha meno funzioni, quindi meno porte, ma le porte che ha sono spesso quelle della classifica.
- Se copro tutte e dieci le voci, sono al sicuro?
- Coprite i difetti più diffusi, il che è moltissimo, ma la Top 10 non è esaustiva: esistono difetti specifici della vostra applicazione, in particolare nella logica del business, che nessuna lista generica prevede. È un'ottima base, non un traguardo che chiude il discorso.
- Esiste una OWASP Top 10 anche per l'AI?
- Sì: OWASP pubblica anche una Top 10 dedicata alle applicazioni basate sui modelli linguistici, dove al primo posto c'è la prompt injection. Se avete un assistente AI, è quella la lista di riferimento, distinta da quella per le applicazioni web classiche.