Tanquem el mòdul 1 amb el primer mapa de riscos de BazarNube: una taula d'actius (dades de clients, pagaments, preus i comandes, disponibilitat, mòdul legacy en Java) classificats amb la tríada CIA. Aquest mapa ens diu què ens preocupa, però encara en un llenguatge casolà. Ara l'equip necessita un vocabulari compartit i reconegut per tota la indústria per anomenar aquestes amenaces. Aquest vocabulari existeix, i és probablement el document de seguretat més famós del món: l'OWASP Top Ten. En aquesta lliçó el presentem —què és, com s'elabora, per a què serveix i per a què no— i recorrem la seva edició vigent (2021) anomenant-ne les deu categories. No n'esgotarem cap: cadascuna té el seu desenvolupament al mòdul 3.

Aquesta és la primera parada de la nostra "caixa d'eines OWASP". Aquí només obrim la caixa i descrivim l'eina; el manual d'ús detallat arriba després.

1. Què és l'OWASP Top Ten (i què no és)
2. Com s'elabora: dades + enquesta
3. Per a què serveix i per a què NO serveix
4. L'edició vigent: Top Ten 2021
5. Les deu categories A01–A10
6. Què va canviar de 2017 a 2021
7. El Top Ten aplicat al mapa de riscos de BazarNube

L'OWASP Top Ten és un document de conscienciació que recull els deu riscos de seguretat més crítics per a les aplicacions web, segons el consens de la comunitat i les dades disponibles. Es publica de manera periòdica (cada 3–4 anys aproximadament) i és, amb diferència, el projecte flagship més conegut d'OWASP.

La paraula clau és conscienciació (awareness). El Top Ten existeix per respondre a una pregunta molt concreta: "Si només puc parar atenció a un grapat de coses, per on començo?". És un punt de partida, una brúixola, un mínim comú denominador que qualsevol persona que desenvolupi programari web hauria de conèixer.

És igual d'important entendre què NO és:

• NO és un estàndard exhaustiu. No llista totes les vulnerabilitats possibles; llista les deu categories més rellevants. Complir el Top Ten no significa "estar segur", significa "haver cobert el més bàsic i freqüent".
• NO és una checklist de certificació. No existeix cap segell de "compleixo el Top Ten". Per a la verificació formal, requisit a requisit, OWASP té un altre projecte: ASVS (lliçó 02-02).
• NO és un manual de remediació pas a pas. Descriu els riscos i orienta, però el detall de com mitigar-los es recolza en altres recursos (com les Cheat Sheets, lliçó 02-05).

Regla mental: el Top Ten et diu on mirar primer; no et diu que hagis acabat de mirar.

El Top Ten no s'inventa en una reunió: es construeix amb una metodologia mixta que combina evidència i criteri expert. Entendre com es fa ajuda a llegir-lo amb sentit crític.

Les dues fonts són:

1. Dades aportades per la comunitat. Empreses, consultores i proveïdors d'eines donen dades anonimitzades sobre quines vulnerabilitats troben en aplicacions reals. D'aquí surten mètriques com la incidència (amb quina freqüència apareix una debilitat) i la cobertura.
2. Enquesta a la comunitat (industry survey). Com que les dades històriques només reflecteixen el que ja se sabia buscar, es pregunta a més a professionals del sector quins riscos consideren més importants mirant cap endavant. Això permet incloure amenaces emergents que encara no apareixen massivament a les dades.

A més, el Top Ten s'organitza en categories de risc, no en vulnerabilitats concretes. Per exemple, "Injecció" és una categoria que agrupa SQL injection, injecció de comandes, LDAP, etc. Aquesta agrupació és deliberada: fa la llista estable i comprensible en lloc d'una llista interminable de CVEs.

Perquè l'equip de BazarNube faci servir el Top Ten amb criteri, convé tenir claríssims els seus usos legítims i els seus abusos habituals.

La idea de fons: el Top Ten és un excel·lent començament i un pèssim final. Un error clàssic de gestió és declarar "hem revisat el Top Ten, ja estem segurs" i tancar el tema. El correcte és fer-lo servir com a rampa d'entrada cap a eines més completes (ASVS per verificar, SAMM per madurar el programa, ZAP per provar).

L'edició vigent en el moment d'aquest curs és l'OWASP Top Ten 2021. Va introduir diversos canvis de fons respecte a l'anterior (2017):

• Reordenació per dades més rigoroses i per l'enquesta.
• Reagrupació de categories (algunes es van fusionar, d'altres es van ampliar).
• Focus creixent en causes de disseny i no només en símptomes concrets.

Treballarem sobre aquesta edició 2021 durant tot el curs. És la referència que el mòdul 3 desenvolupa categoria per categoria.

Aquí tens la llista completa. Només les anomenem, amb una frase que en doni la idea; el desenvolupament real (exemples, codi vulnerable de BazarNube, mitigacions) és el contingut del mòdul 3.

Dos matisos que de vegades confonen i que convé fixar ja:

• XSS (Cross-Site Scripting) va deixar de ser una categoria pròpia i va quedar integrat a A03: Injection. Tot i així, per la seva importància, el mòdul 3 li dedica una lliçó específica.
• XXE (XML External Entities) també va deixar de ser categoria pròpia i va quedar absorbit a A05: Security Misconfiguration. El mòdul 3 igualment el tracta en detall.

Comparar edicions ajuda a entendre l'evolució del risc. Aquest és el resum dels canvis més significatius entre 2017 i 2021:

La lectura estratègica d'aquests canvis: la seguretat web va madurar de perseguir bugs concrets a atacar causes d'arrel. Les dues novetats —Insecure Design i SSRF— ho il·lustren: una ens obliga a pensar abans de programar; l'altra reflecteix arquitectures modernes (microserveis, núvol, metadades internes) on el mateix servidor pot ser enganyat.

Tornem al mapa de riscos que va tancar el mòdul 1. Aquell mapa parlava en termes d'actius i CIA. Ara podem traduir-lo al vocabulari del Top Ten, i així començar a poblar el backlog de troballes amb etiquetes reconeixibles:

Lucía (backend lead) proposa una cosa assenyada: fer servir els codis A01–A10 com a etiquetes al backlog. Així, quan aparegui una troballa, no s'apunta com a "problema estrany del cercador", sinó com a "A03 – Injection a /api/cercar". Aquest petit gest connecta la feina diària de BazarNube amb un estàndard mundial i prepara el terreny per al mòdul 3.

Fixa't que no tots els riscos encaixen encara: per exemple, no hem etiquetat res com A08 o A10 encara. Això és normal i sa: el Top Ten és una guia d'on mirar, no una obligació d'"omplir" les deu caselles.

• Tractar el Top Ten com una checklist d'"aprovat". Cobrir les deu categories no equival a estar segur; és el mínim. Per verificar de veritat, fes servir ASVS (lliçó següent).
• Confondre categories amb vulnerabilitats. "Injection" no és un bug, és una família de bugs. Una mateixa troballa pot tocar diverses categories.
• Fer servir una edició antiga sense adonar-se'n. Molta documentació a internet segueix citant el Top Ten 2017 (amb XSS i XXE com a categories pròpies). Verifica sempre que treballes sobre 2021.
• Buscar aquí el "com s'arregla". El Top Ten conscienia; la remediació detallada viu a les Cheat Sheets i al mòdul 3. No et frustris si aquesta lliçó no et dona el pedaç exacte: no és la seva funció.
• Consell: memoritza almenys A01, A03 i A06 d'entrada. Són, per a un e-commerce típic com BazarNube, els que més probablement et trobaràs a la pràctica.

Exercici 1. Classifica cada situació de BazarNube en la categoria Top Ten 2021 més adequada: (a) el frontend de Marc mostra sense escapar un comentari de producte que conté <script>; (b) el Dockerfile del mòdul Java arrenca en mode debug amb la consola d'administració exposada; (c) un atacant prova milers de contrasenyes contra /login sense que res el freni.

Exercici 2. Explica en 3–5 línies per què el Top Ten no basta com a criteri per afirmar davant un client que "BazarNube compleix amb la seguretat exigida", i quin projecte d'OWASP encaixaria millor per a aquesta afirmació.

Exercici 3. El Top Ten 2021 va introduir dues categories noves respecte a 2017. Anomena-les i, per a cadascuna, dona un exemple plausible a BazarNube.

Solució 1. (a) A03 Injection (concretament XSS, que el 2021 viu dins d'Injection); (b) A05 Security Misconfiguration (configuració insegura, serveis d'administració exposats —i aquí també podria entrar XXE si processa XML); (c) A07 Identification and Authentication Failures (manca de protecció contra força bruta / credential stuffing).

Solució 2. El Top Ten és un document de conscienciació, no un estàndard de verificació: cobreix només les deu categories més freqüents i no defineix requisits comprovables un a un. Afirmar compliment requereix un estàndard de requisits verificables, i aquest és OWASP ASVS, que veurem a la lliçó 02-02: permet dir "hem verificat els requisits de nivell X" amb evidència concreta.

Solució 3. Les dues novetats són A04: Insecure Design i A10: SSRF. Exemples a BazarNube: (A04) el procés de checkout es va dissenyar sense controls antifrau ni límit d'intents de pagament, una fallada de disseny més que de codi; (A10) un endpoint que descarrega la imatge d'un producte a partir d'una URL facilitada per l'usuari podria ser enganyat per demanar recursos interns de la xarxa (metadades del contenidor, serveis privats).

Has conegut la primera eina de la caixa OWASP: el Top Ten, un document de conscienciació que llista els deu riscos web més crítics, elaborat amb dades + enquesta i organitzat en categories de risc. Saps per a què serveix (punt de partida, vocabulari comú, priorització) i per a què no (no és estàndard de certificació ni llista exhaustiva). Has recorregut l'edició 2021 amb les seves categories A01–A10, entès les fusions (XSS→A03, XXE→A05) i les novetats (Insecure Design i SSRF), i has començat a etiquetar el backlog de BazarNube amb aquest vocabulari.

Però el mateix Top Ten ens ha deixat una pregunta oberta: si conscienia però no verifica, com demostrem, requisit a requisit, que BazarNube és segur? Aquesta és exactament la funció de la següent eina. A la lliçó 02-02 presentem OWASP ASVS, l'estàndard que converteix "estar conscienciat" en "poder verificar-ho".