Mozilla développe un Framework gratuit de tests de sécurité pour le Web
La bêta de Minion sera disponible au premier trimestre 2013

Le , par Hinault Romaric

23PARTAGES

8  0 
L’équipe en charge de la sécurité informatique au sein de la fondation Mozilla travaille sur un framework open source de tests de sécurité automatisés pour les applications Web.

Baptisé Minion, ce framework de tests est construit, selon la fondation Mozilla, pour combler le fossé entre les développeurs et les testeurs de sécurité. Pour cela, Minion permettra aux développeurs d’analyser leurs projets à partir d’une interface Web conviviale.

Il pourra être utilisé pour tester la sécurité tout le long du cycle de développement d’une application ou d’un service Web, afin que le développeur soit conscient des problèmes le plus tôt possible.

Le projet implémente des outils de tests d’applications comme : OWASP Zed Attack Proxy (ZAP), une solution intégrée de tests et de pénétration pour trouver les vulnérabilités dans les applications Web ; Skipfish, le scanner de vulnérabilités Web Open Source ; Nmap, un scanner de ports open source ou encore Garmr, l’outil de tests de sécurité de la fondation Mozilla.




Les données générées au cours des tests pourront être recueillies et analysées par les développeurs. Pour empêcher les pirates d’utiliser le framework pour analyser les failles des sites Web, le service vérifiera pour chaque test si les propriétaires sont effectivement à l’origine de la demande.

Par ailleurs, Minion devra être « très très sécurisé », car il contiendra des données sensibles comme des informations sur les problèmes de sécurité les plus répandus.

La fondation Mozilla envisage de publier une bêta de Minion au cours du premier trimestre de cette année. Le framework sera utilisé par l’organisme en interne sur ses propres applications Web et sera disponible également comme un service.

Le Wiki du projet

La vidéo de présentation

Source : Mozilla

Et vous ?

Que pensez-vous de Minion ?

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de Uther
Expert éminent sénior https://www.developpez.com
Le 21/01/2013 à 14:12
S'il suffisait changer deux ligne dans le code pour faire tomber la protection, ca ne serait pas une protection. Les gens de chez Mozilla ne sont pas idiots.

Je suppose que c'est fait coté serveur et que l'on ne pourra donc y avoir accès (a moins bien sur que le serveur ait déjà été piraté.)
3  1 
Avatar de Samuel_
Membre expert https://www.developpez.com
Le 21/01/2013 à 14:28
Citation Envoyé par Kenaryn Voir le message
Le produit marche sur les plate-bandes des testeurs en sécurité, ce qui va légèrement diminuer l'attrait des entreprises pour ce genre de postes.
Je ne pense pas qu'un simple Framework en bêta peut remplacer une personne avec ses compétences et son expérience.

Mais sinon l'idée de ce Framework est bonne, surtout pour les développement perso et les petites entreprises.
2  0 
Avatar de LSMetag
Expert confirmé https://www.developpez.com
Le 21/01/2013 à 22:27
Ca peut être sympa pour faire une première (ou dernière) passe de vérification de sécurité. Moi je prends.
1  0 
Avatar de Clorge
En attente de confirmation mail https://www.developpez.com
Le 21/03/2013 à 2:49
rien ne vaudras jamais l'audit d'un humain, il y plein de façons de tromper un bot de scan dans son application web.
De plus dans le meilleur des mondes où le bot trouve toutes les failles, comment celui qui ne s'y connait pas interprète les résultats ?
XSS volotille == mon site vas se faire pirater :O :peur:
SQL == bof.. ça doit etre comme une xss, c'est pas bien grave

nikto , nessus, nmap sont déjà là, et encore une fois , faut bien distinguer la detection de la correction des failles (sans compter l'audit plus approfondi de l'apl)

BOT : http://site.tld/index.html == Arf... site statique aucune faille (dommage il y avais ça dans l'htaccess AddType application/x-httpd-php .html)
M'enfin, encore un piège à con pour ceux qui croient qu'il n'existe que deux état de sécurité, true || false mais bon, tant mieux, ça fait des places sur le marché du travail
1  0 
Avatar de negstek
Membre confirmé https://www.developpez.com
Le 01/08/2013 à 10:10
vivement la création d'un tuto sur l'utilisation de ces logiciels et les bonnes pratiques pour sécuriser son site web
1  0 
Avatar de raimbow
Nouveau membre du Club https://www.developpez.com
Le 21/01/2013 à 14:27
Que ça soit ZAP, Skipfish, Nmap ou Garmr, ce sont pas des outils qui analysent le code, ils agissent comme de simple "visiteur", autrement dis il n'y a pas besoin de droit spécifique côté serveur pour lancer ces outils.

A partir de là, je vois pas trop ce qu'ils peuvent "bloquer" sans que ça soit utilisable sans l'autorisation du serveur.
0  0 
Avatar de leminipouce
Membre éprouvé https://www.developpez.com
Le 22/01/2013 à 17:39
En plus d'être un super point positif pour tous les dév qui sont fait sans financement sur l'aspect sécurité, c'est aussi un super point de départ pour se sensibiliser et s'informer sur les problématiques de sécurité.

Je prends !
0  0 
Avatar de yassiin
Membre à l'essai https://www.developpez.com
Le 22/01/2013 à 17:44
je pense que le framework va faire la même chose que detectify qui propose un service pour faire un scan de votre site pour y trouver d'éventuels exploits !
0  0 
Avatar de andry.aime
Rédacteur/Modérateur https://www.developpez.com
Le 25/01/2013 à 16:09
En parlant de minion, j'ai pensé à eux.
0  0 
Avatar de Aurelien Plazzotta
Membre extrêmement actif https://www.developpez.com
Le 21/01/2013 à 14:25
Le produit marche sur les plate-bandes des testeurs en sécurité, ce qui va légèrement diminuer l'attrait des entreprises pour ce genre de postes.

Je ne suis pas contre l'innovation hein, c'est une simple observation
0  2 
Le code payé par les citoyens devrait être disponible pour les citoyens !
Libra : Facebook renonce à sa vision ambitieuse sur la cryptomonnaie
Rustls, une bibliothèque TLS écrite en Rust, surclasse les performances d'OpenSSL
Cours complet Bootstrap 4 - Premiers pas, un tutoriel de Maurice Chavelli
Contacter le responsable de la rubrique Accueil

Partenaire : Hébergement Web