Sécurité des applications .Net

Implémentation de l’authentification et autorisation

• Les fournisseurs de l’authentification : Active Directory, SQL, Simple, Universal
• L’authentification Claim-based, federated
• Restreindre l’accès aux ressources : attribut Authorize et AllowAnonymous
• Affecter des Rôles et des MemberShip : les fournisseurs
• Ajouts de comptes (User) aux rôles
• Implémenter un custom role provider
• Fournir un service pour les membership
• Implémenter un custom membership provider
• P. : ajouter l’authentification avec un formulaire de login et vérifier l’accès aux ressources

Développer des sites sécurisés

• Le scripting « cross-site »
• Techniques d’attaques diverses : injection
• Désactiver la protection (éditeur HTML)
• Les Secure Sockets Layer
• La gestion d’état : côté serveur (Inproc, Stateserver, Sql…)
• Configurer Sateserver et Sqlserver
• Dimensionner : IPartitionResolver
• P. : enregistrer des préférences utilisateur pour chaque utilisateur de l’application Web

Introduction à Windows Identity Foundation

• Introduction aux identités
• Utiliser le Windows Azure Access Control Service (ACS)
• Paramétrer ACS pour la fédération
• Gestion d’identité avec ACS : mot de passe,  clé symétrique, X.509
• Configurer les services pour utiliser les Federated Identities
• Fédération active et passive
• Intégration ACS avec les Api Web
• Configuration du point de terminaison du Windows Azure Service bus avec ACS
• P. : configurer l’ACS sur Azure et intégrer cette ACS à l’API WEB de l’application. Déployer sur Azure

Introduction à la sécurité des web services

• Introduction à la sécurité des applications
• Introduction à la sécurité de WCF
• Sécurité du transport
• Configuration du service pour le transport
• Utiliser la sécurité transport sur le client
• Sécurité du message
• Configuration du service pour le message
• Utiliser la sécurité message  sur le client
• Sécurité du transport avec permissions des clients
• Configuration des authentifications et permissions du service
• Authentification des clients
• Créer un custom credential validator
• Accéder aux informations d’identité
• Autoriser les clients
• P.: Sécuriser le service WCF et les règles de validation pour l’accès du client.

Les attaques WEB

• Les ressources de l'OWASP
• Les dix risques de sécurité applicatifs Web les plus critiques selon l’OWASP
• Identification des principaux risques dans la Cybersécurité

L’audit d'applications en mode dynamique avec APPSCAN Standard

• Configuration d’un scan
• Lancement de l’opération de Scan
• Analyse des résultats