Secure Software Development

1. hét: Motiváció és bevezetés példákon keresztül
Klasszikus példák bemutatása a szoftver implementációs hibák okozta problémákról. Buffer overflow támadás az Internet fénykorából, a Slammer worm esete. A Heartbleed támadás bemutatása. Debian OpenSSL véletlenszám generálásból adódó biztonsági katasztrófa. Távoli autó feltörés hacker módszerekkel.

2. hét: Magas-szintű nyelvek (Managed languages) – támadási példák
Input validációs hibák kihasználásának bemutatása, környezei változók rosszindulatú megváltoztatásának lehetőségei. Parancssori argumentumok ellenőrzésének szabályai és ezek hiányából fakadó támadások. Integer overflow problémák.

3. hét: Magas-szintű nyelvek (Managed languages) – támadási példák
Mobil rendszerek sérülékenységének bemutatása. Fuzzing módszer használata kártékony bemeneti paraméterek előállítására. Szerializáció és az abból adódó problémák.

4. hét: Magas-szintű nyelvek (Managed languages) – védekezési módszerek
Code Review folyamat Microsoft Team Foundation környezetben, a TFS jogosultsági rendszere, automatikus bemenő adat generálás, Z3, TPT és fuzzing alapú keretrendszerek áttekintése, többszálú programok tesztelése, a PEX és CHESS rendszerek bemutatása. A Java környezet code review folyamatainak bemutatása, az IDEA környezetben. Verziókezelők, pl GIT jogosultságkezelési rendszere rendszere, kódvisszafejtés elleni védelem, obfuszkációs szintek. Kivételek kezelése obfuszkált kód esetén. A felsoroltakon kívül gyakorlati példákat mutatunk több fejlesztőeszköz és keretrendszer képességeire biztonságos programozás szempontjából.

5. hét: Webes alkalmazások elleni támadások
Webes sérülékenységek bemutatása a legfrissebb statisztikák (pl. OWASP top 10 listája) alapján példákkal illusztrálva. Injection támadások, Cross-site scripting (XSS), Cross-site request forgery (CSRF), Hitelesítés és azonosítás gyengeségei, Hibás biztonsági beállítások bemutatása példákkal.

6. hét: Szkriptnyelvek használatának  tipikus biztonsági hibái
Script nyelvek sérülékenységei. Gyengén típusos nyelvek problémáinak kihasználása. Tipikus hibák python nyelv használata során. A Javascript programozási nyelvben elkövetett hibák kihasználása.

7.hét: Biztonságos webes alkalmazások készítése
Bemutatásra kerülnek a népszerű backend technológiák (Java, .NET, Node.JS) kiemelve a biztonságos megoldások támogatását. Ismertetésre kerülnek olyan technológiák, mint a biztonságos authentikáció és authorizáció a single sign-on, illetve a captcha kezelés és a botok felderítésének módja. Kitérünk a multi-factor authentication, SMS/email confirmation kérdéskörökre is. Elemezzük a jogosultsági szintek kialakításának módszerét és a hozzáférés vezérlés legjobb gyakorlatait. Emellett természetesen a HTTPS alapú biztonságos kapcsolat kialakítás és a man-in-the-middle jellegű támadások kikerülése is az anyag részét képezi.  A HTTP fejléc biztonsági lehetőségeinek áttekintése.

8. hét: Rendszerközeli programozási nyelvekben elkövetett hibák kihasználása
Sorba vesszük a manapság divatos támadási technikákat a rendszerközeli programozási nyelvek ellen (C, C++). Helytelen memóriakezelésből adódó hibák kihasználása. Túlcsordulásos támadások bemutatása stack és heap ellen.

9. hét: Rendszerközeli programozási nyelvekben elkövetett tipikus hibák kihasználása
Elsőkörös támadások elleni védelmek (stack canary, DEP/NX, ASLR) megkerülése. Kódbeszúrás nélküli támadások, return-to-libc és return-oriented programming (ROP).

10-11.hét: Biztonságos programozás és rendszertervezés desktop és mobil környezetben
Mobil alkalmazások futási környezete, sandbox elv, natív kódrészek biztonságos használata, buffer overflow hibák és hibás memóriahasználat keresésére alkalmas toolok, a kód fuzzing alapú tesztelése mint általános eszköz. Módszertanok hibák elkerülésérére különböző nyelveken (pl. C). Reflection használata és az azzal kapcsolatos biztonsági kérdések mobil környezetben. Biztonságos kommunikáció tervezés, azonosítási kérdések (pl. SQRL – Secure Quick Reliable Login) és adatkezelés mobil környezetben, védelem fenntartása continuous integration alkalmazása esetén, személyes adatok védelme, kód visszafejtés és kódvédelem.

12. hét: Rendszertervezési és protokolltervezési hibákból adódó támadások
Bemutatásra kerülnek a tipikus API szintű hibák, pl. webbolt API elleni támadás.  Hijacking támadások, session hijacking és click hijacking támadások bemutatása. Cookie biztonsági problémák.

13. hét: Kriptográfiai protokollok biztonsági kérdései
Tipikus hibák bemutatása a véletlenszámgenerálás folyamata ellen. Kriptográfiai könyvtárak alkalmazásának tipikus hibái. Néhány TLS protokoll elleni támadás bemutatása. OpenSSL könyvtárak helytelen használatából adódó biztonsági problémák.

14. hét: State-of-the-art: Biztonságos programozási nyelvek
Összefoglaljuk a különböző programnyelvek biztonsági alapelveit az alacsony szintű nyelvektől egészen a legújabb szkriptnyelvekig. Külön tárgyaljuk a state-of-the-art programozási nyelvekben (Go, Rust) bevezetett technikákat a biztonság és megbízhatóság növelésére.