OWASP - User contributions [en]

DOM based XSS Prevention Cheat Sheet

2016-06-17T12:12:19Z

Åke Bengtsson: Changed ‘ ’ “ ” … to ' " ...

__NOTOC__
<div style="width:100%;height:160px;border:0,margin:0;overflow: hidden;">[[File:Cheatsheets-header.jpg|link=]]</div>

{| style="padding: 0;margin:0;margin-top:10px;text-align:left;" |-
| valign="top" style="border-right: 1px dotted gray;padding-right:25px;" |
Last revision (mm/dd/yy): '''{{REVISIONMONTH}}/{{REVISIONDAY}}/{{REVISIONYEAR}}'''
= Introduction =
__TOC__{{TOC hidden}}

When looking at XSS (Cross-Site Scripting), there are three generally recognized forms of [[XSS]]. [[XSS#Stored_and_Reflected_XSS_Attacks | Reflected, Stored]], and [[DOM Based XSS]]. The [[XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet | XSS Prevention Cheatsheet]] does an excellent job of addressing Reflected and Stored XSS. This cheatsheet addresses DOM (Document Object Model) based XSS and is an extension (and assumes comprehension of) the [[XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet | XSS Prevention Cheatsheet]].

In order to understand DOM based XSS, one needs to see the fundamental difference between Reflected and Stored XSS when compared to DOM based XSS. The primary difference is where the attack is injected into the application. Reflected and Stored XSS are server side injection issues while DOM based XSS is a client (browser) side injection issue. All of this code originates on the server, which means it is the application owner's responsibility to make it safe from XSS, regardless of the type of XSS flaw it is. Also, XSS attacks always <b>execute</b> in the browser. The difference between Reflected/Stored XSS is where the attack is added or injected into the application. With Reflected/Stored the attack is injected into the application during server-side processing of requests where untrusted input is dynamically added to HTML. For DOM XSS, the attack is injected into the application during runtime in the client directly.

When a browser is rendering HTML and any other associated content like CSS, JavaScript, etc. it identifies various rendering contexts for the different kinds of input and follows different rules for each context. A rendering context is associated with the parsing of HTML tags and their attributes. The HTML parser of the rendering context dictates how data is presented and laid out on the page and can be further broken down into the standard contexts of HTML, HTML attribute, URL, and CSS. The JavaScript or VBScript parser of an execution context is associated with the parsing and execution of script code. Each parser has distinct and separate semantics in the way they can possibly execute script code which make creating consistent rules for mitigating vulnerabilities in various contexts difficult. The complication is compounded by the differing meanings and treatment of encoded values within each subcontext (HTML, HTML attribute, URL, and CSS) within the execution context.

For the purposes of this article, we refer to the HTML, HTML attribute, URL, and CSS Cheatsheet contexts as subcontexts because each of these contexts can be reached and set within a JavaScript execution context. In JavaScript code, the main context is JavaScript but with the right tags and context closing characters, an attacker can try to attack the other 4 contexts using equivalent JavaScript DOM methods.<br/>

The following is an example vulnerability which occurs in the JavaScript context and HTML subcontext:<br/>

<code>
<script>
var x = '<%= taintedVar %>';
var d = document.createElement('div');
d.innerHTML = x;
document.body.appendChild(d);
</script>
</code>

Let’s look at the individual subcontexts of the execution context in turn.

==RULE #1 - HTML Escape then JavaScript Escape Before Inserting Untrusted Data into HTML Subcontext within the Execution Context==

There are several methods and attributes which can be used to directly render HTML content within JavaScript. These methods constitute the HTML Subcontext within the Execution Context. If these methods are provided with untrusted input, then an XSS vulnerability could result. For example:

===Example Dangerous HTML Methods===
====Attributes====
<code>
element.innerHTML = "<HTML> Tags and markup";
element.outerHTML = "<HTML> Tags and markup";
</code>

====Methods====
<code>
document.write("<HTML> Tags and markup");
document.writeln("<HTML> Tags and markup");
</code>

===Guideline===
To make dynamic updates to HTML in the DOM safe, we recommend a) HTML encoding, and then b) JavaScript encoding all untrusted input, as shown in these examples:

<code>
element.innerHTML = "<%=Encoder.encodeForJS(Encoder.encodeForHTML(untrustedData))%>";
element.outerHTML = "<%=Encoder.encodeForJS(Encoder.encodeForHTML(untrustedData))%>";
</code>

<code>
document.write("<%=Encoder.encodeForJS(Encoder.encodeForHTML(untrustedData))%>");
document.writeln("<%=Encoder.encodeForJS(Encoder.encodeForHTML(untrustedData))%>");
</code>

Note: The Encoder.encodeForHTML() and Encoder.encodeForJS() are just notional encoders. Various options for actual encoders are listed later in this document.

== RULE #2 - JavaScript Escape Before Inserting Untrusted Data into HTML Attribute Subcontext within the Execution Context ==

The HTML attribute *subcontext* within the *execution* context is divergent from the standard encoding rules. This is because the rule to HTML attribute encode in an HTML attribute rendering context is necessary in order to mitigate attacks which try to exit out of an HTML attributes or try to add additional attributes which could lead to XSS. When you are in a DOM execution context you only need to JavaScript encode HTML attributes which do not execute code (attributes other than event handler, CSS, and URL attributes).

For example, the general rule is to HTML Attribute encode untrusted data (data from the database, HTTP request, user, back-end system, etc.) placed in an HTML Attribute. This is the appropriate step to take when outputting data in a rendering context, however using HTML Attribute encoding in an execution context will break the application display of data.

=== SAFE but BROKEN example===
<code>
var x = document.createElement("input");
x.setAttribute("name", "company_name");
// In the following line of code, companyName represents untrusted user input
// The Encoder.encodeForHTMLAttr() is unnecessary and causes double-encoding
x.setAttribute("value", '<%=Encoder.encodeForJS(Encoder.encodeForHTMLAttr(companyName))%>');
var form1 = document.forms[0];
form1.appendChild(x);
</code>

The problem is that if companyName had the value “Johnson & Johnson”. What would be displayed in the input text field would be “Johnson &amp; Johnson”. The appropriate encoding to use in the above case would be only JavaScript encoding to disallow an attacker from closing out the single quotes and in-lining code, or escaping to HTML and opening a new script tag.

===SAFE and FUNCTIONALLY CORRECT example===
<code>
var x = document.createElement("input");
x.setAttribute("name", "company_name");
x.setAttribute("value", '<%=Encoder.encodeForJS(companyName)%>');
var form1 = document.forms[0];
form1.appendChild(x);
</code>

It is important to note that when setting an HTML attribute which does not execute code, the value is set directly within the object attribute of the HTML element so there is no concerns with injecting up.

==RULE #3 - Be Careful when Inserting Untrusted Data into the Event Handler and JavaScript code Subcontexts within an Execution Context==

Putting dynamic data within JavaScript code is especially dangerous because JavaScript encoding has different semantics for JavaScript encoded data when compared to other encodings. In many cases, JavaScript encoding does not stop attacks within an execution context. For example, a JavaScript encoded string will execute even though it is JavaScript encoded.

Therefore, the primary recommendation is to <u>avoid including untrusted data in this context</u>. If you must, the following examples describe some approaches that do and do not work.

<code>
var x = document.createElement("a");
x.href="#";
// In the line of code below, the encoded data on the right (the second argument to setAttribute)
// is an example of untrusted data that was properly JavaScript encoded but still executes.
x.setAttribute("onclick", "\u0061\u006c\u0065\u0072\u0074\u0028\u0032\u0032\u0029");
var y = document.createTextNode("Click To Test");
x.appendChild(y);
document.body.appendChild(x);
</code>

The setAttribute(<i>name_string</i>,<i>value_string</i>) method is dangerous because it implicitly coerces the <i>string_value</i> into the DOM attribute datatype of <i>name_string</i>. In the case above, the attribute name is an JavaScript event handler, so the attribute value is implicitly converted to JavaScript code and evaluated. In the case above, JavaScript encoding does not mitigate against DOM based XSS. Other JavaScript methods which take code as a string types will have a similar problem as outline above (setTimeout, setInterval, new Function, etc.). This is in stark contrast to JavaScript encoding in the event handler attribute of a HTML tag (HTML parser) where JavaScript encoding mitigates against XSS.<br/>

<code>

<a id="bb" href="#" onclick="\u0061\u006c\u0065\u0072\u0074\u0028\u0031\u0029"> Test Me</a>
</code>

An alternative to using Element.setAttribute(...) to set DOM attributes is to set the attribute directly. Directly setting event handler attributes will allow JavaScript encoding to mitigate against DOM based XSS. Please note, it is always dangerous design to put untrusted data directly into a command execution context.<br/>

<code>
<a id="bb" href="#"> Test Me</a>
</code>
<code>
//The following does NOT work because the event handler is being set to a string. "alert(7)" is JavaScript encoded.
document.getElementById("bb").onclick = "\u0061\u006c\u0065\u0072\u0074\u0028\u0037\u0029";

//The following does NOT work because the event handler is being set to a string.
document.getElementById("bb").onmouseover = "testIt";

//The following does NOT work because of the encoded "(" and ")". "alert(77)" is JavaScript encoded.
document.getElementById("bb").onmouseover = \u0061\u006c\u0065\u0072\u0074\u0028\u0037\u0037\u0029;

//The following does NOT work because of the encoded ";". "testIt;testIt" is JavaScript encoded.
document.getElementById("bb").onmouseover = \u0074\u0065\u0073\u0074\u0049\u0074\u003b\u0074\u0065\u0073\u0074\u0049\u0074;

//The following DOES WORK because the encoded value is a valid variable name or function reference. "testIt" is JavaScript encoded
document.getElementById("bb").onmouseover = \u0074\u0065\u0073\u0074\u0049\u0074;

function testIt() {

alert("I was called.");
}

</code>

There are other places in JavaScript where JavaScript encoding is accepted as valid executable code.<br/>

<code>
for ( var \u0062=0; \u0062 < 10; \u0062++){
\u0064\u006f\u0063\u0075\u006d\u0065\u006e\u0074
.\u0077\u0072\u0069\u0074\u0065\u006c\u006e
("\u0048\u0065\u006c\u006c\u006f\u0020\u0057\u006f\u0072\u006c\u0064");
}
\u0077\u0069\u006e\u0064\u006f\u0077
.\u0065\u0076\u0061\u006c
\u0064\u006f\u0063\u0075\u006d\u0065\u006e\u0074
.\u0077\u0072\u0069\u0074\u0065(111111111);
</code>

or

<code>
var s = "\u0065\u0076\u0061\u006c";
var t = "\u0061\u006c\u0065\u0072\u0074\u0028\u0031\u0031\u0029";
window[s](t);
</code>

Because JavaScript is based on an international standard (ECMAScript), JavaScript encoding enables the support of international characters in programming constructs and variables in addition to alternate string representations (string escapes).

However the opposite is the case with HTML encoding. HTML tag elements are well defined and do not support alternate representations of the same tag. So HTML encoding cannot be used to allow the developer to have alternate representations of the <code><a></code> tag for example.

===HTML Encoding’s Disarming Nature===

In general, HTML encoding serves to castrate HTML tags which are placed in HTML and HTML attribute contexts.
Working example (no HTML encoding):

<code>
<a href="..." >
</code>

Normally encoded example (Does Not Work – DNW):

<code>
&#x3c;a href=... &#x3e;
</code>

HTML encoded example to highlight a fundamental difference with JavaScript encoded values (DNW):

<code>
<&#x61; href=...>
</code>

If HTML encoding followed the same semantics as JavaScript encoding. The line above could have possibily worked to render a link. This difference makes JavaScript encoding a less viable weapon in our fight against XSS.

==RULE #4 - JavaScript Escape Before Inserting Untrusted Data into the CSS Attribute Subcontext within the Execution Context==

Normally executing JavaScript from a CSS context required either passing <code>javascript:attackCode()</code> to the CSS url() method or invoking the CSS expression() method passing JavaScript code to be directly executed. From my experience, calling the expression() function from an execution context (JavaScript) has been disabled. In order to mitigate against the CSS url() method, ensure that you are URL encoding the data passed to the CSS url() method.

<code>
document.body.style.backgroundImage = "url(<%=Encoder.encodeForJS(Encoder.encodeForURL(companyName))%>)";
</code>

TODO: We have not been able to get the expression() function working from DOM JavaScript code. Need some help.

== RULE #5 - URL Escape then JavaScript Escape Before Inserting Untrusted Data into URL Attribute Subcontext within the Execution Context ==

The logic which parses URLs in both execution and rendering contexts looks to be the same. Therefore there is little change in the encoding rules for URL attributes in an execution (DOM) context.

var x = document.createElement("a");
x.setAttribute("href", '<%=Encoder.encodeForJS(Encoder.encodeForURL(userRelativePath))%>');
var y = document.createTextElement("Click Me To Test");
x.appendChild(y);
document.body.appendChild(x);

If you utilize fully qualified URLs then this will break the links as the colon in the protocol identifier (“http:” or “javascript:”) will be URL encoded preventing the “http” and “javascript” protocols from being invoked.

== RULE #6 - Populate the DOM using safe JavaScript functions or properties ==

The most fundamental safe way to populate the DOM with untrusted data is to use the safe assignment property, textContent. Here is an example of safe usage.

<code>
<script>
element.textContent = "<%=untrustedData%>"; //does not executes code
</script>
</code>

=Guidelines for Developing Secure Applications Utilizing JavaScript=

DOM based XSS is extremely difficult to mitigate against because of its large attack surface and lack of standardization across browsers. The guidelines below are an attempt to provide guidelines for developers when developing Web based JavaScript applications (Web 2.0) such that they can avoid XSS.

1. Untrusted data should only be treated as displayable text. Never treat untrusted data as code or markup within JavaScript code. <br/>
2. Always JavaScript encode and delimit untrusted data as quoted strings when entering the application (Jim Manico and Robert Hansen) <br/>
<code>
var x = "<%=encodedJavaScriptData%>";
</code>
3. Use <code>document.createElement("..."), element.setAttribute("...","value"), element.appendChild(...)</code>, etc. to build dynamic interfaces. Please note, element.setAttribute is only safe for a limited number of attributes. Dangerous attributes include any attribute that is a command execution context, such as onclick or onblur. Examples of safe attributes includes align, alink, alt, bgcolor, border, cellpadding, cellspacing, class, color, cols, colspan, coords, dir, face, height, hspace, ismap, lang, marginheight, marginwidth, multiple, nohref, noresize, noshade, nowrap, ref, rel, rev, rows, rowspan, scrolling, shape, span, summary, tabindex, title, usemap, valign, value, vlink, vspace, width.<br/>
4. Avoid use of HTML rendering methods:<br/>
#<code>element.innerHTML = "..."; </code>
#<code>element.outerHTML = "..."; </code>
#<code>document.write(...); </code>
#<code>document.writeln(...); </code><br/>
5. Understand the dataflow of untrusted data through your JavaScript code. If you do have to use the methods above remember to HTML and then JavaScript encode the untrusted data (Stefano Di Paola).<br/>
6. There are numerous methods which implicitly eval() data passed to it. Make sure that any untrusted data passed to these methods is delimited with string delimiters and enclosed within a closure or JavaScript encoded to N-levels based on usage, and wrapped in a custom function. Ensure to follow step 4 above to make sure that the untrusted data is not sent to dangerous methods within the custom function or handle it by adding an extra layer of encoding.<br/>

<b>Utilizing an Enclosure (as suggested by Gaz)</b>

The example that follows illustrates using closures to avoid double JavaScript encoding.

<code>
setTimeout((function(param) { return function() {
customFunction(param);
}
})("<%=Encoder.encodeForJS(untrustedData)%>"), y);
</code>

The other alternative is using N-levels of encoding.<br/>

<b>N-Levels of Encoding</b><br/>

If your code looked like the following, you would need to only double JavaScript encode input data.

<code>
setTimeout("customFunction('<%=doubleJavaScriptEncodedData%>', y)");
function customFunction (firstName, lastName)
alert("Hello" + firstName + " " + lastNam);
}
</code>

The <code>doubleJavaScriptEncodedData</code> has its first layer of JavaScript encoding reversed (upon execution) in the single quotes. Then the implicit <code>eval()</code> of <code>setTimeout()</code> reverses another layer of JavaScript encoding to pass the correct value to <code>customFunction</code>. The reason why you only need to double JavaScript encode is that the <code>customFunction</code> function did not itself pass the input to another method which implicitly or explicitly called <code>eval()</code>. If "firstName" was passed to another JavaScript method which implicitly or explicitly called eval() then <code><%=doubleJavaScriptEncodedData%></code> above would need to be changed to <code><%=tripleJavaScriptEncodedData%></code>.<br/>

An important implementation note is that if the JavaScript code tries to utilize the double or triple encoded data in string comparisons, the value may be interpreted as different values based on the number of evals() the data has passed through before being passed to the if comparison and the number of times the value was JavaScript encoded.<br/>

If "A" is double JavaScript encoded then the following if check will return false.<br/>

<code>
var x = "doubleJavaScriptEncodedA"; //\u005c\u0075\u0030\u0030\u0034\u0031
if (x == "A") {
alert("x is A");
} else if (x == "\u0041") {
alert("This is what pops");
}
</code>

This brings up an interesting design point. Ideally, the correct way to apply encoding and avoid the problem stated above is to server-side encode for the output context where data is introduced into the application. Then client-side encode (using a JavaScript encoding library such as ESAPI4JS) for the individual subcontext (DOM methods) which untrusted data is passed to. ESAPI4JS (located at http://bit.ly/9hRTLH) and jQuery Encoder (located at https://github.com/chrisisbeef/jquery-encoder/blob/master/src/main/javascript/org/owasp/esapi/jquery/encoder.js) are two client side encoding libraries developed by Chris Schmidt.<br/>
Here are some examples of how they are used:<br/>
<code>
var input = "<%=Encoder.encodeForJS(untrustedData)%>"; //server-side encoding
</code>
<code>
window.location = ESAPI4JS.encodeForURL(input); //URL encoding is happening in JavaScript
</code>
<code>
document.writeln(ESAPI4JS.encodeForHTML(input)); //HTML encoding is happening in JavaScript
</code>

It has been well noted by the group that any kind of reliance on a JavaScript library for encoding would be problematic as the JavaScript library could be subverted by attackers. One option is to wait till ECMAScript 5 so the JavaScript library could support immutable properties.<br/>
Another option provided by Gaz (Gareth) was to use a specific code construct to limit mutability with anonymous clousures.<br/>

An example follows:<br/>

<code>
function escapeHTML(str) {
str = str + "''";
var out = "''";
for(var i=0; i<str.length; i++) {
if(str[i] === '<') {
out += '&lt;';
} else if(str[i] === '>') {
out += '&gt;';
} else if(str[i] === "'") {
out += '&#39;';
} else if(str[i] === '"') {
out += '&quot;';
} else {
out += str[i];
}
}
return out;
}
</code>

<br/>Chris Schmidt has put together another implementation of a JavaScript encoder at http://yet-another-dev.blogspot.com/2011/02/client-side-contextual-encoding-for.html. <br/>

6. Limit the usage of dynamic untrusted data to right side operations. And be aware of data which may be passed to the application which look like code (eg. <code>location</code>, <code>eval()</code>). (Achim)<br/>
<code>
var x = "<%=properly encoded data for flow%>";
</code>

If you want to change different object attributes based on user input use a level of indirection.<br/>

Instead of: <br/>

<code>
window[userData] = "moreUserData";
</code>

Do the following instead:<br/>
<code>
if (userData==="location") {
window.location = "static/path/or/properly/url/encoded/value";
}
</code>

7. When URL encoding in DOM be aware of character set issues as the character set in JavaScript DOM is not clearly defined (Mike Samuel).<br/>

8. Limit access to properties objects when using object[x] accessors. (Mike Samuel). In other words use a level of indirection between untrusted input and specified object properties.<br/>
Here is an example of the problem when using map types:<br/>
<code>
var myMapType = {};
myMapType[<%=untrustedData%>] = "moreUntrustedData";
</code>

Although the developer writing the code above was trying to add additional keyed elements to the <code>myMapType</code> object. This could be used by an attacker to subvert internal and external attributes of the <code>myMapType</code> object.<br/>

9. Run your JavaScript in a ECMAScript 5 canopy or sand box to make it harder for your JavaScript API to be compromised (Gareth Heyes and John Stevens).<br/>

10. Don’t <code>eval()</code> JSON to convert it to native JavaScript objects. Instead use <code>JSON.toJSON()</code> and <code>JSON.parse()</code> (Chris Schmidt).

= Common Problems Associated with Mitigating DOM Based XSS =
==Complex Contexts==
In many cases the context isn’t always straightforward to discern.<br/>
<code>
<a href="javascript:myFunction('<%=untrustedData%>', 'test');">Click Me</a>
...
<script>
Function myFunction (url,name) {
window.location = url;
}
</script>
</code>

In the above example, untrusted data started in the rendering URL context (<code>href</code> attribute of an <code><a></code> tag) then changed to a JavaScript execution context (<code>javascript:</code> protocol handler) which passed the untrusted data to an execution URL subcontext (<code>window.location</code> of myFunction). Because the data was introduced in JavaScript code and passed to a URL subcontext the appropriate server-side encoding would be the following:<br/>

<code>
<a href="javascript:myFunction('<%=Encoder.encodeForJS( ↩
Encoder.encodeForURL(untrustedData))%>', 'test');">Click Me</a>
...
</code>

Or if you were using ECMAScript 5 with an immutable JavaScript client-side encoding libraries you could do the following:<br/>

<code>

<a href="javascript:myFunction('<%=Encoder.encodeForJS(untrustedData)%>', 'test');">Click Me</a>
...
<script>
Function myFunction (url,name) {
var encodedURL = ESAPI4JS.encodeForURL(url); //URL encoding using client-side scripts
window.location = encodedURL;
}
</script>
</code>

== Inconsistencies of Encoding Libraries ==
There are a number of open source encoding libraries out there:<br/>

#[[ESAPI]]
#Apache Commons String Utils
#Jtidy
#Your company’s custom implementation.

Some work on a black list while others ignore important characters like “<” and “>”. ESAPI is one of the few which works on a whitelist and encodes all non-alphanumeric characters.
It is important to use an encoding library that understands which characters can be used to exploit vulnerabilies in their respective contexts. Misconceptions abound related to the proper encoding that is required.

==Encoding Misconceptions==
Many security training curriculums and papers advocate the blind usage of HTML encoding to resolve XSS. This logically seems to be prudent advice as the JavaScript parser does not understand HTML encoding. However, if the pages returned from your web application utilize a content type of “text/xhtml” or the file type extension of “*.xhtml” then HTML encoding may not work to mitigate against XSS.<br/>

For example: <br/>

<code>
<script>
&#x61;lert(1);
</script>
</code>

The HTML encoded value above is still executable. If that isn’t enough to keep in mind, you have to remember that encodings are lost when you retrieve them using the value attribute of a DOM element. <br/>

Let’s look at the sample page and script:<br/>

<code>
<form name="myForm" ...>
<input type="text" name="lName" value="<%=Encoder.encodeForHTML(last_name)%>">
...
</form>
<script>
var x = document.myForm.lName.value; //when the value is retrieved the encoding is reversed
document.writeln(x); //any code passed into lName is now executable.
</script>
</code>

Finally there is the problem that certain methods in JavaScript which are usually safe can be unsafe in certain contexts.<br/>

==Usually Safe Methods==

One example of an attribute which is thought to be safe is innerText. Some papers or guides advocate its use as an alternative to innerHTML to mitigate against XSS in innerHTML. However, depending on the tag which innerText is applied, code can be executed. Also note, innerText is non standard and is not supported in FireFox<br/>

<code>
<script>
var tag = document.createElement("script");
tag.innerText = "<%=untrustedData%>"; //executes code
</script>
</code>

= Authors and Contributing Editors =

Jim Manico - jim[at]owasp.org<br/>
Abraham Kang - abraham.kang[at]owasp.org<br/>
Gareth (Gaz) Heyes<br/>
Stefano Di Paola<br/>
Achim Hoffmann - achim[at]owasp.org<br/>
Robert (RSnake) Hansen<br/>
Mario Heiderich<br/>
John Steven<br/>
Chris (Chris BEEF) Schmidt<br/>
Mike Samuel<br/>
Jeremy Long<br/>
Eduardo (SirDarkCat) Alberto Vela Nava<br/>
Jeff Williams - jeff.williams[at]owasp.org <br/>
Erlend Oftedal
| valign="top" style="padding-left:25px;width:300px;border-right: 1px dotted gray;padding-right:25px;" |

== Other Cheatsheets ==

{{Cheatsheet_Navigation_Body}}

|}

[[Category:Cheatsheets]]

East Sweden

2015-02-21T16:10:31Z

Åke Bengtsson: /* Välkommen till pub med OWASP East Sweden Pub 5/3! */

<div style="float: right;">[[File:Owasp_east_sweden_logo.png]]</div>

= Information =
OWASP East Sweden är en lokalförening i Linköping, Norrköping och omnejd. Vi riktar oss främst till utvecklare, men även IT-arkitekter, kravställare och andra som berörs av applikationsutveckling är välkomna. Är du redan säkerhetsintresserad, eller vill fördjupa dig inom ämnet, får du gärna delta aktivt i vår förening för att sprida kunskapen vidare.

Lokalföreningens ledare är [mailto:gustav.nyqvist@owasp.org Gustav Nyqvist], Marcus Gustafsson, [mailto:ake.bengtsson@owasp.org Åke Bengtsson] och [mailto:tony.lindgren@owasp.org Tony Lindgren]

''Information in english at the bottom''

= Medlemskap =
Medlemskap är helt gratis, även om donationer är välkomna. Bli medlem genom att gå med i vår [http://lists.owasp.org/mailman/listinfo/OWASP-Sweden maillista], notera att vi delar maillista med de två andra lokalföreningarna i Sverige; [[Sweden]] och [[Gothenburg]].

= Möten =

<span id="pub-1"></span>
== Välkommen till pub med OWASP East Sweden Pub 5/3! ==

Härmed bjuder vi in till vår första OWASP-pub i Linköping torsdagen den 5:e mars!

Tanken är att vi träffas under lättare former, tar några glas av valfri dryck och socialiserar. Det finns självklart även möjlighet till mat för de som vill.

'''Datum:''' 2015-03-05<br />
'''Tid:''' 18:00 och framåt<br />
'''Plats:''' Källarplan, Horse and Hound, Storgatan 39, Linköping

Ingen anmälan behövs.

MVH Dan, Marcus, Tony och Åke

<span id="event-incidenter-och-forensik"></span>

== Välkommen till event av OWASP East Sweden 13/3! ==
Härmed bjuder vi in till ett andra event i Linköping den 13:e mars som kommer att handla om incidenter och forensik!

Vi har möjlighet att erbjuda dryck (öl, cider eller alkoholfritt) och macka eller liknande samt lokal tack vare vår sponsor Cybercom Group.

När alla kommit på plats börjar vi med en kort presentation om OWASP och OWASP East Sweden och därefter kommer kvällens två talare, Leif Nixon och Jonas Elmqvist, att ta vid.

Leif Nixon från Nixon Security kommer att prata om IT-säkerhetsincidenter.

''"Just nu pågår det allvarliga IT-säkerhetsincidenter som vi inte kan hantera på ett effektivt sätt. En del har du kanske hört talas om, andra inte. Det här är incidenter i Internet-skala, omfattande tusentals eller tiotusentals datorer, eller ibland enheter som vi inte betraktar som datorer. Vi kommer att studera några incidenter från verkliga livet och diskutera de tekniska och organisatoriska hindren för att bemöta dem."''

Jonas Elmqvist från Knowit Secure kommer att prata om Informationssäkerhet och IT-forensik inom betalkortsindustrin.

''"Varje vecka kan vi läsa eller höra om nya dataintrång runt om i världen. Inte sällan rör det sig om stulna kreditkortsuppgifter. Hur skyddas egentligen våra kreditkortsuppgifter när vi handlar på nätet eller i butiker? Vi tar oss igenom den säkerhetsstandard som styr aktörerna i betalkortsindustrin samt går igenom exempel från forensikutredningar inom området."''

Tidsplan:
* 17:30 Mingel, dryck och mat
* 18:00 Presentation OWASP och OWASP East Sweden
* 18:15 Jonas Elmqvist, Informationssäkerhet och IT-forensik inom betalkortsindustrin
* 19:15 Leif Nixon, IT-säkerhetsincidenter från verkliga livet
* 21:00 Diskussioner

'''Datum:''' 2014-03-13<br />
'''Plats:''' Cybercoms lokaler i Collegium Mjärdevi Science Park, Linköping, Teknikringen 7, våning 4

''Anmälan sker på [https://owasp-east-sweden-incidenter-och-forensik.eventbrite.com/ Eventbrite] och är obligatorisk om man hoppas få sig något att äta. Sista anmälningsdag är måndag 10/3.''

''För att ange ev. matpreferenser eller annan kontakt, maila oss på owasp-east_sweden-owner@lists.owasp.org''

MVH Gustav, Marcus och Åke

'''Uppföljning:'''
* Slides
** [https://www.owasp.org/images/a/ac/OES_2014-03-13_Jonas_Elmqvist.pdf Jonas Elmqvist - Informationssäkerhet och IT-forensik inom betalkortsindustrin]
** [https://www.owasp.org/images/9/92/OES_2014-03-13_Leif_Nixon.pdf Leif Nixon - IT-säkerhetsincidenter från verkliga livet]
* Länkar
** [http://www.welivesecurity.com/2014/03/18/attack-unix-operation-windigo/ http://www.welivesecurity.com/2014/03/18/attack-unix-operation-windigo/]

<span id="event-startup"></span>
== Välkommen till uppstartsmöte för OWASP East Sweden 3/10! ==
Härmed bjuder vi in till vårt första event i Linköping den 3:e oktober.

Vi har möjlighet att erbjuda dryck (öl, cider eller alkoholfritt) och macka samt lokal tack vare vår sponsor Knowit Secure AB.

När alla kommit på plats börjar vi med att presentera OWASP, vilka vi är och våra planer med OWASP East Sweden. Därefter kommer vi göra en snabb genomgång av ett av OWASPs mest kända projekt, OWASP Top 10, vilket listar de 10 allvarligaste riskerna i webbapplikationer.

Därefter fortsätter vi lättsamt med sk. brown bag sessions, där vi i grupp ser och diskuterar inspelade föreläsningar från t.ex. AppSec, Sec-T, Defcon etc. Vi tar gärna emot förslag på bra videos, till det här eventet eller framtida events. Vi avslutar därefter med diskussioner om vad ni tyckte om kvällen och era förväntningar på kommande event.

Tidsplan:
* 17:30 Mingel, dryck och macka
* 18:00 Presentation OWASP och OWASP East Sweden
* 18:30 OWASP Top 10 2013
* 19:00 Brown bag sessions
* 21:00 Diskussioner

'''Datum:''' 2013-10-03<br />
'''Plats:''' Knowits lokaler i centrala Linköping, Platensgatan 8, högsta våningen

''Anmälan sker på [http://owasp-east-sweden-start.eventbrite.com/ Eventbrite] och är obligatorisk om man hoppas få sig en macka. Glöm inte att ange ev. matpreferenser.''

MVH David, Gustav och Åke

'''Uppföljning:'''
* Slides
** [https://www.owasp.org/images/4/4e/OES_2013-10-03_Introduction_swe.pdf Introduktion]
** [https://www.owasp.org/images/d/db/OES_2013-10-03_Topp_10_swe.pdf OWASP Topp 10]
* Brown bag sessions
** Joseph McCray - You Spent All That Money And You Still Got Owned... [http://www.defcon.org/html/defcon-18/dc-18-speakers.html#McCray Info] [http://www.defcon.org/html/links/dc-archives/dc-18-archive.html#McCray Nerladdning] [http://www.youtube.com/watch?v=tJsNu0VRKYY YouTube]
** Moxie Marlinspike - SSL And The Future Of Authenticity [http://www.defcon.org/html/defcon-19/dc-19-speakers.html#Marlinspike Info] [http://www.defcon.org/html/links/dc-archives/dc-19-archive.html#Marlinspike Nerladdning] [http://www.youtube.com/watch?v=pDmj_xe7EIQ YouTube]

= In english =
<div style="border: 1px dotted #AAA; background-color: #FAFAFA; padding: 0.5em;">
{{Chapter Template|chaptername=East Sweden|extra=The chapter leader is [mailto:gustav.nyqvist@owasp.org Gustav Nyqvist], Marcus Gustafsson, [mailto:ake.bengtsson@owasp.org Åke Bengtsson] and [mailto:tony.lindgren@owasp.org Tony Lindgren].|mailinglistsite=http://lists.owasp.org/mailman/listinfo/OWASP-Sweden|emailarchives=http://lists.owasp.org/pipermail/OWASP-Sweden}}
</div>

[[Category:OWASP Chapter]]
[[Category:Europe]]
[[Category:Sweden]]

East Sweden

2015-02-21T16:07:12Z

Åke Bengtsson: Första OWASP-puben :)

<div style="float: right;">[[File:Owasp_east_sweden_logo.png]]</div>

= Information =
OWASP East Sweden är en lokalförening i Linköping, Norrköping och omnejd. Vi riktar oss främst till utvecklare, men även IT-arkitekter, kravställare och andra som berörs av applikationsutveckling är välkomna. Är du redan säkerhetsintresserad, eller vill fördjupa dig inom ämnet, får du gärna delta aktivt i vår förening för att sprida kunskapen vidare.

Lokalföreningens ledare är [mailto:gustav.nyqvist@owasp.org Gustav Nyqvist], Marcus Gustafsson, [mailto:ake.bengtsson@owasp.org Åke Bengtsson] och [mailto:tony.lindgren@owasp.org Tony Lindgren]

''Information in english at the bottom''

= Medlemskap =
Medlemskap är helt gratis, även om donationer är välkomna. Bli medlem genom att gå med i vår [http://lists.owasp.org/mailman/listinfo/OWASP-Sweden maillista], notera att vi delar maillista med de två andra lokalföreningarna i Sverige; [[Sweden]] och [[Gothenburg]].

= Möten =

<span id="pub-1"></span>
== Välkommen till pub med OWASP East Sweden Pub 5/3! ==

Härmed bjuder vi in till vår första OWASP-pub i Linköping torsdagen den 5:e mars!

Tanken är att vi träffas under lättare former, tar några glas av valfri dryck och socialiserar. Det finns självklart även möjlighet till mat för de som vill.

'''Datum:''' 2015-03-05<br />
'''Tid:''' 18:00<br />
'''Plats:''' Källarplan, Horse and Hound, Storgatan 39, Linköping

Ingen anmälan behövs.

MVH Dan, Marcus, Tony och Åke

<span id="event-incidenter-och-forensik"></span>
== Välkommen till event av OWASP East Sweden 13/3! ==
Härmed bjuder vi in till ett andra event i Linköping den 13:e mars som kommer att handla om incidenter och forensik!

Vi har möjlighet att erbjuda dryck (öl, cider eller alkoholfritt) och macka eller liknande samt lokal tack vare vår sponsor Cybercom Group.

När alla kommit på plats börjar vi med en kort presentation om OWASP och OWASP East Sweden och därefter kommer kvällens två talare, Leif Nixon och Jonas Elmqvist, att ta vid.

Leif Nixon från Nixon Security kommer att prata om IT-säkerhetsincidenter.

''"Just nu pågår det allvarliga IT-säkerhetsincidenter som vi inte kan hantera på ett effektivt sätt. En del har du kanske hört talas om, andra inte. Det här är incidenter i Internet-skala, omfattande tusentals eller tiotusentals datorer, eller ibland enheter som vi inte betraktar som datorer. Vi kommer att studera några incidenter från verkliga livet och diskutera de tekniska och organisatoriska hindren för att bemöta dem."''

Jonas Elmqvist från Knowit Secure kommer att prata om Informationssäkerhet och IT-forensik inom betalkortsindustrin.

''"Varje vecka kan vi läsa eller höra om nya dataintrång runt om i världen. Inte sällan rör det sig om stulna kreditkortsuppgifter. Hur skyddas egentligen våra kreditkortsuppgifter när vi handlar på nätet eller i butiker? Vi tar oss igenom den säkerhetsstandard som styr aktörerna i betalkortsindustrin samt går igenom exempel från forensikutredningar inom området."''

Tidsplan:
* 17:30 Mingel, dryck och mat
* 18:00 Presentation OWASP och OWASP East Sweden
* 18:15 Jonas Elmqvist, Informationssäkerhet och IT-forensik inom betalkortsindustrin
* 19:15 Leif Nixon, IT-säkerhetsincidenter från verkliga livet
* 21:00 Diskussioner

'''Datum:''' 2014-03-13<br />
'''Plats:''' Cybercoms lokaler i Collegium Mjärdevi Science Park, Linköping, Teknikringen 7, våning 4

''Anmälan sker på [https://owasp-east-sweden-incidenter-och-forensik.eventbrite.com/ Eventbrite] och är obligatorisk om man hoppas få sig något att äta. Sista anmälningsdag är måndag 10/3.''

''För att ange ev. matpreferenser eller annan kontakt, maila oss på owasp-east_sweden-owner@lists.owasp.org''

MVH Gustav, Marcus och Åke

'''Uppföljning:'''
* Slides
** [https://www.owasp.org/images/a/ac/OES_2014-03-13_Jonas_Elmqvist.pdf Jonas Elmqvist - Informationssäkerhet och IT-forensik inom betalkortsindustrin]
** [https://www.owasp.org/images/9/92/OES_2014-03-13_Leif_Nixon.pdf Leif Nixon - IT-säkerhetsincidenter från verkliga livet]
* Länkar
** [http://www.welivesecurity.com/2014/03/18/attack-unix-operation-windigo/ http://www.welivesecurity.com/2014/03/18/attack-unix-operation-windigo/]

<span id="event-startup"></span>
== Välkommen till uppstartsmöte för OWASP East Sweden 3/10! ==
Härmed bjuder vi in till vårt första event i Linköping den 3:e oktober.

Vi har möjlighet att erbjuda dryck (öl, cider eller alkoholfritt) och macka samt lokal tack vare vår sponsor Knowit Secure AB.

När alla kommit på plats börjar vi med att presentera OWASP, vilka vi är och våra planer med OWASP East Sweden. Därefter kommer vi göra en snabb genomgång av ett av OWASPs mest kända projekt, OWASP Top 10, vilket listar de 10 allvarligaste riskerna i webbapplikationer.

Därefter fortsätter vi lättsamt med sk. brown bag sessions, där vi i grupp ser och diskuterar inspelade föreläsningar från t.ex. AppSec, Sec-T, Defcon etc. Vi tar gärna emot förslag på bra videos, till det här eventet eller framtida events. Vi avslutar därefter med diskussioner om vad ni tyckte om kvällen och era förväntningar på kommande event.

Tidsplan:
* 17:30 Mingel, dryck och macka
* 18:00 Presentation OWASP och OWASP East Sweden
* 18:30 OWASP Top 10 2013
* 19:00 Brown bag sessions
* 21:00 Diskussioner

'''Datum:''' 2013-10-03<br />
'''Plats:''' Knowits lokaler i centrala Linköping, Platensgatan 8, högsta våningen

''Anmälan sker på [http://owasp-east-sweden-start.eventbrite.com/ Eventbrite] och är obligatorisk om man hoppas få sig en macka. Glöm inte att ange ev. matpreferenser.''

MVH David, Gustav och Åke

'''Uppföljning:'''
* Slides
** [https://www.owasp.org/images/4/4e/OES_2013-10-03_Introduction_swe.pdf Introduktion]
** [https://www.owasp.org/images/d/db/OES_2013-10-03_Topp_10_swe.pdf OWASP Topp 10]
* Brown bag sessions
** Joseph McCray - You Spent All That Money And You Still Got Owned... [http://www.defcon.org/html/defcon-18/dc-18-speakers.html#McCray Info] [http://www.defcon.org/html/links/dc-archives/dc-18-archive.html#McCray Nerladdning] [http://www.youtube.com/watch?v=tJsNu0VRKYY YouTube]
** Moxie Marlinspike - SSL And The Future Of Authenticity [http://www.defcon.org/html/defcon-19/dc-19-speakers.html#Marlinspike Info] [http://www.defcon.org/html/links/dc-archives/dc-19-archive.html#Marlinspike Nerladdning] [http://www.youtube.com/watch?v=pDmj_xe7EIQ YouTube]

= In english =
<div style="border: 1px dotted #AAA; background-color: #FAFAFA; padding: 0.5em;">
{{Chapter Template|chaptername=East Sweden|extra=The chapter leader is [mailto:gustav.nyqvist@owasp.org Gustav Nyqvist], Marcus Gustafsson, [mailto:ake.bengtsson@owasp.org Åke Bengtsson] and [mailto:tony.lindgren@owasp.org Tony Lindgren].|mailinglistsite=http://lists.owasp.org/mailman/listinfo/OWASP-Sweden|emailarchives=http://lists.owasp.org/pipermail/OWASP-Sweden}}
</div>

[[Category:OWASP Chapter]]
[[Category:Europe]]
[[Category:Sweden]]

East Sweden

2014-03-28T11:42:06Z

Åke Bengtsson: Added presentation slides

<div style="float: right;">[[File:Owasp_east_sweden_logo.png]]</div>

= Information =
OWASP East Sweden är en lokalförening i Linköping, Norrköping och omnejd. Vi riktar oss främst till utvecklare, men även IT-arkitekter, kravställare och andra som berörs av applikationsutveckling är välkomna. Är du redan säkerhetsintresserad, eller vill fördjupa dig inom ämnet, får du gärna delta aktivt i vår förening för att sprida kunskapen vidare.

Lokalföreningens ledare är [mailto:gustav.nyqvist@owasp.org Gustav Nyqvist], Marcus Gustafsson och [mailto:ake.bengtsson@owasp.org Åke Bengtsson]

''Information in english at the bottom''

= Medlemskap =
Medlemskap är helt gratis, även om donationer är välkomna. Bli medlem genom att gå med i vår [http://lists.owasp.org/mailman/listinfo/OWASP-Sweden maillista], notera att vi delar maillista med de två andra lokalföreningarna i Sverige; [[Sweden]] och [[Gothenburg]].

= Möten =

<span id="event-incidenter-och-forensik"></span>
== Välkommen till event av OWASP East Sweden 13/3! ==
Härmed bjuder vi in till ett andra event i Linköping den 13:e mars som kommer att handla om incidenter och forensik!

Vi har möjlighet att erbjuda dryck (öl, cider eller alkoholfritt) och macka eller liknande samt lokal tack vare vår sponsor Cybercom Group.

När alla kommit på plats börjar vi med en kort presentation om OWASP och OWASP East Sweden och därefter kommer kvällens två talare, Leif Nixon och Jonas Elmqvist, att ta vid.

Leif Nixon från Nixon Security kommer att prata om IT-säkerhetsincidenter.

''"Just nu pågår det allvarliga IT-säkerhetsincidenter som vi inte kan hantera på ett effektivt sätt. En del har du kanske hört talas om, andra inte. Det här är incidenter i Internet-skala, omfattande tusentals eller tiotusentals datorer, eller ibland enheter som vi inte betraktar som datorer. Vi kommer att studera några incidenter från verkliga livet och diskutera de tekniska och organisatoriska hindren för att bemöta dem."''

Jonas Elmqvist från Knowit Secure kommer att prata om Informationssäkerhet och IT-forensik inom betalkortsindustrin.

''"Varje vecka kan vi läsa eller höra om nya dataintrång runt om i världen. Inte sällan rör det sig om stulna kreditkortsuppgifter. Hur skyddas egentligen våra kreditkortsuppgifter när vi handlar på nätet eller i butiker? Vi tar oss igenom den säkerhetsstandard som styr aktörerna i betalkortsindustrin samt går igenom exempel från forensikutredningar inom området."''

Tidsplan:
* 17:30 Mingel, dryck och mat
* 18:00 Presentation OWASP och OWASP East Sweden
* 18:15 Jonas Elmqvist, Informationssäkerhet och IT-forensik inom betalkortsindustrin
* 19:15 Leif Nixon, IT-säkerhetsincidenter från verkliga livet
* 21:00 Diskussioner

'''Datum:''' 2014-03-13<br />
'''Plats:''' Cybercoms lokaler i Collegium Mjärdevi Science Park, Linköping, Teknikringen 7, våning 4

''Anmälan sker på [https://owasp-east-sweden-incidenter-och-forensik.eventbrite.com/ Eventbrite] och är obligatorisk om man hoppas få sig något att äta. Sista anmälningsdag är måndag 10/3.''

''För att ange ev. matpreferenser eller annan kontakt, maila oss på owasp-east_sweden-owner@lists.owasp.org''

MVH Gustav, Marcus och Åke

'''Uppföljning:'''
* Slides
** [https://www.owasp.org/images/a/ac/OES_2014-03-13_Jonas_Elmqvist.pdf Jonas Elmqvist - Informationssäkerhet och IT-forensik inom betalkortsindustrin]
** [https://www.owasp.org/images/9/92/OES_2014-03-13_Leif_Nixon.pdf Leif Nixon - IT-säkerhetsincidenter från verkliga livet]
* Länkar
** [http://www.welivesecurity.com/2014/03/18/attack-unix-operation-windigo/ http://www.welivesecurity.com/2014/03/18/attack-unix-operation-windigo/]

<span id="event-startup"></span>
== Välkommen till uppstartsmöte för OWASP East Sweden 3/10! ==
Härmed bjuder vi in till vårt första event i Linköping den 3:e oktober.

Vi har möjlighet att erbjuda dryck (öl, cider eller alkoholfritt) och macka samt lokal tack vare vår sponsor Knowit Secure AB.

När alla kommit på plats börjar vi med att presentera OWASP, vilka vi är och våra planer med OWASP East Sweden. Därefter kommer vi göra en snabb genomgång av ett av OWASPs mest kända projekt, OWASP Top 10, vilket listar de 10 allvarligaste riskerna i webbapplikationer.

Därefter fortsätter vi lättsamt med sk. brown bag sessions, där vi i grupp ser och diskuterar inspelade föreläsningar från t.ex. AppSec, Sec-T, Defcon etc. Vi tar gärna emot förslag på bra videos, till det här eventet eller framtida events. Vi avslutar därefter med diskussioner om vad ni tyckte om kvällen och era förväntningar på kommande event.

Tidsplan:
* 17:30 Mingel, dryck och macka
* 18:00 Presentation OWASP och OWASP East Sweden
* 18:30 OWASP Top 10 2013
* 19:00 Brown bag sessions
* 21:00 Diskussioner

'''Datum:''' 2013-10-03<br />
'''Plats:''' Knowits lokaler i centrala Linköping, Platensgatan 8, högsta våningen

''Anmälan sker på [http://owasp-east-sweden-start.eventbrite.com/ Eventbrite] och är obligatorisk om man hoppas få sig en macka. Glöm inte att ange ev. matpreferenser.''

MVH David, Gustav och Åke

'''Uppföljning:'''
* Slides
** [https://www.owasp.org/images/4/4e/OES_2013-10-03_Introduction_swe.pdf Introduktion]
** [https://www.owasp.org/images/d/db/OES_2013-10-03_Topp_10_swe.pdf OWASP Topp 10]
* Brown bag sessions
** Joseph McCray - You Spent All That Money And You Still Got Owned... [http://www.defcon.org/html/defcon-18/dc-18-speakers.html#McCray Info] [http://www.defcon.org/html/links/dc-archives/dc-18-archive.html#McCray Nerladdning] [http://www.youtube.com/watch?v=tJsNu0VRKYY YouTube]
** Moxie Marlinspike - SSL And The Future Of Authenticity [http://www.defcon.org/html/defcon-19/dc-19-speakers.html#Marlinspike Info] [http://www.defcon.org/html/links/dc-archives/dc-19-archive.html#Marlinspike Nerladdning] [http://www.youtube.com/watch?v=pDmj_xe7EIQ YouTube]

= In english =
<div style="border: 1px dotted #AAA; background-color: #FAFAFA; padding: 0.5em;">
{{Chapter Template|chaptername=East Sweden|extra=The chapter leader is [mailto:gustav.nyqvist@owasp.org Gustav Nyqvist], [mailto:david.johansson@owasp.org David Johansson] and [mailto:ake.bengtsson@owasp.org Åke Bengtsson].|mailinglistsite=http://lists.owasp.org/mailman/listinfo/OWASP-Sweden|emailarchives=http://lists.owasp.org/pipermail/OWASP-Sweden}}
</div>

[[Category:OWASP Chapter]]
[[Category:Europe]]
[[Category:Sweden]]

File:OES 2014-03-13 Jonas Elmqvist.pdf

2014-03-28T11:36:15Z

Åke Bengtsson: OWASP East Sweden - Informationssäkerhet och IT-forensik inom betalkortsindustrin (Incidenter och forensik, 2014-03-13) Jonas Elmqvist's presentation. In Swedish.

OWASP East Sweden - Informationssäkerhet och IT-forensik inom betalkortsindustrin (Incidenter och forensik, 2014-03-13)

Jonas Elmqvist's presentation.

In Swedish.

File:OES 2014-03-13 Leif Nixon.pdf

2014-03-28T11:34:57Z

Åke Bengtsson: OWASP East Sweden - IT-säkerhet i verkliga livet (Incidenter och forensik, 2014-03-13) Leif Nixon's presentation. In swedish.

OWASP East Sweden - IT-säkerhet i verkliga livet (Incidenter och forensik, 2014-03-13)

Leif Nixon's presentation.

In swedish.

East Sweden

2014-03-05T09:49:42Z

Åke Bengtsson:

<div style="float: right;">[[File:Owasp_east_sweden_logo.png]]</div>

= Information =
OWASP East Sweden är en lokalförening i Linköping, Norrköping och omnejd. Vi riktar oss främst till utvecklare, men även IT-arkitekter, kravställare och andra som berörs av applikationsutveckling är välkomna. Är du redan säkerhetsintresserad, eller vill fördjupa dig inom ämnet, får du gärna delta aktivt i vår förening för att sprida kunskapen vidare.

Lokalföreningens ledare är [mailto:gustav.nyqvist@owasp.org Gustav Nyqvist], Marcus Gustafsson och [mailto:ake.bengtsson@owasp.org Åke Bengtsson]

''Information in english at the bottom''

= Medlemskap =
Medlemskap är helt gratis, även om donationer är välkomna. Bli medlem genom att gå med i vår [http://lists.owasp.org/mailman/listinfo/OWASP-Sweden maillista], notera att vi delar maillista med de två andra lokalföreningarna i Sverige; [[Sweden]] och [[Gothenburg]].

= Möten =

<span id="event-incidenter-och-forensik"></span>
== Välkommen till event av OWASP East Sweden 13/3! ==
Härmed bjuder vi in till ett andra event i Linköping den 13:e mars som kommer att handla om incidenter och forensik!

Vi har möjlighet att erbjuda dryck (öl, cider eller alkoholfritt) och macka eller liknande samt lokal tack vare vår sponsor Cybercom Group.

När alla kommit på plats börjar vi med en kort presentation om OWASP och OWASP East Sweden och därefter kommer kvällens två talare, Leif Nixon och Jonas Elmqvist, att ta vid.

Leif Nixon från Nixon Security kommer att prata om IT-säkerhetsincidenter.

''"Just nu pågår det allvarliga IT-säkerhetsincidenter som vi inte kan hantera på ett effektivt sätt. En del har du kanske hört talas om, andra inte. Det här är incidenter i Internet-skala, omfattande tusentals eller tiotusentals datorer, eller ibland enheter som vi inte betraktar som datorer. Vi kommer att studera några incidenter från verkliga livet och diskutera de tekniska och organisatoriska hindren för att bemöta dem."''

Jonas Elmqvist från Knowit Secure kommer att prata om Informationssäkerhet och IT-forensik inom betalkortsindustrin.

''"Varje vecka kan vi läsa eller höra om nya dataintrång runt om i världen. Inte sällan rör det sig om stulna kreditkortsuppgifter. Hur skyddas egentligen våra kreditkortsuppgifter när vi handlar på nätet eller i butiker? Vi tar oss igenom den säkerhetsstandard som styr aktörerna i betalkortsindustrin samt går igenom exempel från forensikutredningar inom området."''

Tidsplan:
* 17:30 Mingel, dryck och mat
* 18:00 Presentation OWASP och OWASP East Sweden
* 18:15 Jonas Elmqvist, Informationssäkerhet och IT-forensik inom betalkortsindustrin
* 19:15 Leif Nixon, IT-säkerhetsincidenter från verkliga livet
* 21:00 Diskussioner

'''Datum:''' 2014-03-13<br />
'''Plats:''' Cybercoms lokaler i Collegium Mjärdevi Science Park, Linköping, Teknikringen 7, våning 4

''Anmälan sker på [https://owasp-east-sweden-incidenter-och-forensik.eventbrite.com/ Eventbrite] och är obligatorisk om man hoppas få sig något att äta. Sista anmälningsdag är måndag 10/3.''

''För att ange ev. matpreferenser eller annan kontakt, maila oss på owasp-east_sweden-owner@lists.owasp.org''

MVH Gustav, Marcus och Åke

<span id="event-startup"></span>
== Välkommen till uppstartsmöte för OWASP East Sweden 3/10! ==
Härmed bjuder vi in till vårt första event i Linköping den 3:e oktober.

Vi har möjlighet att erbjuda dryck (öl, cider eller alkoholfritt) och macka samt lokal tack vare vår sponsor Knowit Secure AB.

När alla kommit på plats börjar vi med att presentera OWASP, vilka vi är och våra planer med OWASP East Sweden. Därefter kommer vi göra en snabb genomgång av ett av OWASPs mest kända projekt, OWASP Top 10, vilket listar de 10 allvarligaste riskerna i webbapplikationer.

Därefter fortsätter vi lättsamt med sk. brown bag sessions, där vi i grupp ser och diskuterar inspelade föreläsningar från t.ex. AppSec, Sec-T, Defcon etc. Vi tar gärna emot förslag på bra videos, till det här eventet eller framtida events. Vi avslutar därefter med diskussioner om vad ni tyckte om kvällen och era förväntningar på kommande event.

Tidsplan:
* 17:30 Mingel, dryck och macka
* 18:00 Presentation OWASP och OWASP East Sweden
* 18:30 OWASP Top 10 2013
* 19:00 Brown bag sessions
* 21:00 Diskussioner

'''Datum:''' 2013-10-03<br />
'''Plats:''' Knowits lokaler i centrala Linköping, Platensgatan 8, högsta våningen

''Anmälan sker på [http://owasp-east-sweden-start.eventbrite.com/ Eventbrite] och är obligatorisk om man hoppas få sig en macka. Glöm inte att ange ev. matpreferenser.''

MVH David, Gustav och Åke

'''Uppföljning:'''
* Slides
** [https://www.owasp.org/images/4/4e/OES_2013-10-03_Introduction_swe.pdf Introduktion]
** [https://www.owasp.org/images/d/db/OES_2013-10-03_Topp_10_swe.pdf OWASP Topp 10]
* Brown bag sessions
** Joseph McCray - You Spent All That Money And You Still Got Owned... [http://www.defcon.org/html/defcon-18/dc-18-speakers.html#McCray Info] [http://www.defcon.org/html/links/dc-archives/dc-18-archive.html#McCray Nerladdning] [http://www.youtube.com/watch?v=tJsNu0VRKYY YouTube]
** Moxie Marlinspike - SSL And The Future Of Authenticity [http://www.defcon.org/html/defcon-19/dc-19-speakers.html#Marlinspike Info] [http://www.defcon.org/html/links/dc-archives/dc-19-archive.html#Marlinspike Nerladdning] [http://www.youtube.com/watch?v=pDmj_xe7EIQ YouTube]

= In english =
<div style="border: 1px dotted #AAA; background-color: #FAFAFA; padding: 0.5em;">
{{Chapter Template|chaptername=East Sweden|extra=The chapter leader is [mailto:gustav.nyqvist@owasp.org Gustav Nyqvist], [mailto:david.johansson@owasp.org David Johansson] and [mailto:ake.bengtsson@owasp.org Åke Bengtsson].|mailinglistsite=http://lists.owasp.org/mailman/listinfo/OWASP-Sweden|emailarchives=http://lists.owasp.org/pipermail/OWASP-Sweden}}
</div>

[[Category:OWASP Chapter]]
[[Category:Europe]]
[[Category:Sweden]]

East Sweden

2014-03-01T14:23:30Z

Åke Bengtsson:

<div style="float: right;">[[File:Owasp_east_sweden_logo.png]]</div>

= Information =
OWASP East Sweden är en lokalförening i Linköping, Norrköping och omnejd. Vi riktar oss främst till utvecklare, men även IT-arkitekter, kravställare och andra som berörs av applikationsutveckling är välkomna. Är du redan säkerhetsintresserad, eller vill fördjupa dig inom ämnet, får du gärna delta aktivt i vår förening för att sprida kunskapen vidare.

Lokalföreningens ledare är [mailto:gustav.nyqvist@owasp.org Gustav Nyqvist], Marcus Gustafsson och [mailto:ake.bengtsson@owasp.org Åke Bengtsson]

''Information in english at the bottom''

= Medlemskap =
Medlemskap är helt gratis, även om donationer är välkomna. Bli medlem genom att gå med i vår [http://lists.owasp.org/mailman/listinfo/OWASP-Sweden maillista], notera att vi delar maillista med de två andra lokalföreningarna i Sverige; [[Sweden]] och [[Gothenburg]].

= Möten =

<span id="event-incidenter-och-forensik"></span>
== Välkommen till event av OWASP East Sweden 13/3! ==
Härmed bjuder vi in till ett andra event i Linköping den 13:e mars som kommer att handla om incidenter och forensik!

Vi har möjlighet att erbjuda dryck (öl, cider eller alkoholfritt) och macka eller liknande samt lokal tack vare vår sponsor Cybercom Group.

När alla kommit på plats börjar vi med en kort presentation om OWASP och OWASP East Sweden och därefter kommer kvällens två talare, Leif Nixon och Jonas Elmqvist, att ta vid.

Leif Nixon från Nixon Security kommer att prata om IT-säkerhetsincidenter.

''"Just nu pågår det allvarliga IT-säkerhetsincidenter som vi inte kan hantera på ett effektivt sätt. En del har du kanske hört talas om, andra inte. Det här är incidenter i Internet-skala, omfattande tusentals eller tiotusentals datorer, eller ibland enheter som vi inte betraktar som datorer. Vi kommer att studera några incidenter från verkliga livet och diskutera de tekniska och organisatoriska hindren för att bemöta dem."''

Jonas Elmqvist från Knowit Secure kommer att prata om Informationssäkerhet och IT-forensik inom betalkortsindustrin.

''"Varje vecka kan vi läsa eller höra om nya dataintrång runt om i världen. Inte sällan rör det sig om stulna kreditkortsuppgifter. Hur skyddas egentligen våra kreditkortsuppgifter när vi handlar på nätet eller i butiker? Vi tar oss igenom den säkerhetsstandard som styr aktörerna i betalkortsindustrin samt går igenom exempel från forensikutredningar inom området."''

Tidsplan:
* 17:30 Mingel, dryck och mat
* 18:00 Presentation OWASP och OWASP East Sweden
* 18:15 Jonas Elmqvist, Informationssäkerhet och IT-forensik inom betalkortsindustrin
* 19:15 Leif Nixon, IT-säkerhetsincidenter från verkliga livet
* 21:00 Diskussioner

'''Datum:''' 2014-03-13<br />
'''Plats:''' Cybercoms lokaler i Collegium Mjärdevi Science Park, Linköping, Teknikringen 7, våning 4

''Anmälan sker på [https://owasp-east-sweden-incidenter-och-forensik.eventbrite.com/ Eventbrite] och är obligatorisk om man hoppas få sig något att äta.''

''För att ange ev. matpreferenser eller annan kontakt, maila oss på owasp-east_sweden-owner@lists.owasp.org''

MVH Gustav, Marcus och Åke

<span id="event-startup"></span>
== Välkommen till uppstartsmöte för OWASP East Sweden 3/10! ==
Härmed bjuder vi in till vårt första event i Linköping den 3:e oktober.

Vi har möjlighet att erbjuda dryck (öl, cider eller alkoholfritt) och macka samt lokal tack vare vår sponsor Knowit Secure AB.

När alla kommit på plats börjar vi med att presentera OWASP, vilka vi är och våra planer med OWASP East Sweden. Därefter kommer vi göra en snabb genomgång av ett av OWASPs mest kända projekt, OWASP Top 10, vilket listar de 10 allvarligaste riskerna i webbapplikationer.

Därefter fortsätter vi lättsamt med sk. brown bag sessions, där vi i grupp ser och diskuterar inspelade föreläsningar från t.ex. AppSec, Sec-T, Defcon etc. Vi tar gärna emot förslag på bra videos, till det här eventet eller framtida events. Vi avslutar därefter med diskussioner om vad ni tyckte om kvällen och era förväntningar på kommande event.

Tidsplan:
* 17:30 Mingel, dryck och macka
* 18:00 Presentation OWASP och OWASP East Sweden
* 18:30 OWASP Top 10 2013
* 19:00 Brown bag sessions
* 21:00 Diskussioner

'''Datum:''' 2013-10-03<br />
'''Plats:''' Knowits lokaler i centrala Linköping, Platensgatan 8, högsta våningen

''Anmälan sker på [http://owasp-east-sweden-start.eventbrite.com/ Eventbrite] och är obligatorisk om man hoppas få sig en macka. Glöm inte att ange ev. matpreferenser.''

MVH David, Gustav och Åke

'''Uppföljning:'''
* Slides
** [https://www.owasp.org/images/4/4e/OES_2013-10-03_Introduction_swe.pdf Introduktion]
** [https://www.owasp.org/images/d/db/OES_2013-10-03_Topp_10_swe.pdf OWASP Topp 10]
* Brown bag sessions
** Joseph McCray - You Spent All That Money And You Still Got Owned... [http://www.defcon.org/html/defcon-18/dc-18-speakers.html#McCray Info] [http://www.defcon.org/html/links/dc-archives/dc-18-archive.html#McCray Nerladdning] [http://www.youtube.com/watch?v=tJsNu0VRKYY YouTube]
** Moxie Marlinspike - SSL And The Future Of Authenticity [http://www.defcon.org/html/defcon-19/dc-19-speakers.html#Marlinspike Info] [http://www.defcon.org/html/links/dc-archives/dc-19-archive.html#Marlinspike Nerladdning] [http://www.youtube.com/watch?v=pDmj_xe7EIQ YouTube]

= In english =
<div style="border: 1px dotted #AAA; background-color: #FAFAFA; padding: 0.5em;">
{{Chapter Template|chaptername=East Sweden|extra=The chapter leader is [mailto:gustav.nyqvist@owasp.org Gustav Nyqvist], [mailto:david.johansson@owasp.org David Johansson] and [mailto:ake.bengtsson@owasp.org Åke Bengtsson].|mailinglistsite=http://lists.owasp.org/mailman/listinfo/OWASP-Sweden|emailarchives=http://lists.owasp.org/pipermail/OWASP-Sweden}}
</div>

[[Category:OWASP Chapter]]
[[Category:Europe]]
[[Category:Sweden]]

East Sweden

2014-03-01T14:18:11Z

Åke Bengtsson: Replaced David Johansson as co-leader

<div style="float: right;">[[File:Owasp_east_sweden_logo.png]]</div>

= Information =
OWASP East Sweden är en lokalförening i Linköping, Norrköping och omnejd. Vi riktar oss främst till utvecklare, men även IT-arkitekter, kravställare och andra som berörs av applikationsutveckling är välkomna. Är du redan säkerhetsintresserad, eller vill fördjupa dig inom ämnet, får du gärna delta aktivt i vår förening för att sprida kunskapen vidare.

Lokalföreningens ledare är [mailto:gustav.nyqvist@owasp.org Gustav Nyqvist], Marcus Gustafsson och [mailto:ake.bengtsson@owasp.org Åke Bengtsson]

''Information in english at the bottom''

= Medlemskap =
Medlemskap är helt gratis, även om donationer är välkomna. Bli medlem genom att gå med i vår [http://lists.owasp.org/mailman/listinfo/OWASP-Sweden maillista], notera att vi delar maillista med de två andra lokalföreningarna i Sverige; [[Sweden]] och [[Gothenburg]].

= Möten =

<span id="event-incidenter-och-forensik"></span>
== Välkommen till event av OWASP East Sweden 13/3! ==
Härmed bjuder vi in till ett andra event i Linköping den 13:e mars om incidenter och forensik!

Vi har möjlighet att erbjuda dryck (öl, cider eller alkoholfritt) och macka eller liknande samt lokal tack vare vår sponsor Cybercom Group.

När alla kommit på plats börjar vi med en kort presentation om OWASP och OWASP East Sweden och därefter kommer kvällens två talare, Leif Nixon och Jonas Elmqvist, att ta vid.

Leif Nixon från Nixon Security kommer att prata om IT-säkerhetsincidenter.

''"Just nu pågår det allvarliga IT-säkerhetsincidenter som vi inte kan hantera på ett effektivt sätt. En del har du kanske hört talas om, andra inte. Det här är incidenter i Internet-skala, omfattande tusentals eller tiotusentals datorer, eller ibland enheter som vi inte betraktar som datorer. Vi kommer att studera några incidenter från verkliga livet och diskutera de tekniska och organisatoriska hindren för att bemöta dem."''

Jonas Elmqvist från Knowit Secure kommer att prata om Informationssäkerhet och IT-forensik inom betalkortsindustrin.

''"Varje vecka kan vi läsa eller höra om nya dataintrång runt om i världen. Inte sällan rör det sig om stulna kreditkortsuppgifter. Hur skyddas egentligen våra kreditkortsuppgifter när vi handlar på nätet eller i butiker? Vi tar oss igenom den säkerhetsstandard som styr aktörerna i betalkortsindustrin samt går igenom exempel från forensikutredningar inom området."''

Tidsplan:
* 17:30 Mingel, dryck och mat
* 18:00 Presentation OWASP och OWASP East Sweden
* 18:15 Jonas Elmqvist, Informationssäkerhet och IT-forensik inom betalkortsindustrin
* 19:15 Leif Nixon, IT-säkerhetsincidenter från verkliga livet
* 21:00 Diskussioner

'''Datum:''' 2014-03-13<br />
'''Plats:''' Cybercoms lokaler i Collegium Mjärdevi Science Park, Linköping, Teknikringen 7, våning 4

''Anmälan sker på [https://owasp-east-sweden-incidenter-och-forensik.eventbrite.com/ Eventbrite] och är obligatorisk om man hoppas få sig något att äta.''

''För att ange ev. matpreferenser eller annan kontakt, maila oss på owasp-east_sweden-owner@lists.owasp.org''

MVH Gustav, Marcus och Åke

<span id="event-startup"></span>
== Välkommen till uppstartsmöte för OWASP East Sweden 3/10! ==
Härmed bjuder vi in till vårt första event i Linköping den 3:e oktober.

Vi har möjlighet att erbjuda dryck (öl, cider eller alkoholfritt) och macka samt lokal tack vare vår sponsor Knowit Secure AB.

När alla kommit på plats börjar vi med att presentera OWASP, vilka vi är och våra planer med OWASP East Sweden. Därefter kommer vi göra en snabb genomgång av ett av OWASPs mest kända projekt, OWASP Top 10, vilket listar de 10 allvarligaste riskerna i webbapplikationer.

Därefter fortsätter vi lättsamt med sk. brown bag sessions, där vi i grupp ser och diskuterar inspelade föreläsningar från t.ex. AppSec, Sec-T, Defcon etc. Vi tar gärna emot förslag på bra videos, till det här eventet eller framtida events. Vi avslutar därefter med diskussioner om vad ni tyckte om kvällen och era förväntningar på kommande event.

Tidsplan:
* 17:30 Mingel, dryck och macka
* 18:00 Presentation OWASP och OWASP East Sweden
* 18:30 OWASP Top 10 2013
* 19:00 Brown bag sessions
* 21:00 Diskussioner

'''Datum:''' 2013-10-03<br />
'''Plats:''' Knowits lokaler i centrala Linköping, Platensgatan 8, högsta våningen

''Anmälan sker på [http://owasp-east-sweden-start.eventbrite.com/ Eventbrite] och är obligatorisk om man hoppas få sig en macka. Glöm inte att ange ev. matpreferenser.''

MVH David, Gustav och Åke

'''Uppföljning:'''
* Slides
** [https://www.owasp.org/images/4/4e/OES_2013-10-03_Introduction_swe.pdf Introduktion]
** [https://www.owasp.org/images/d/db/OES_2013-10-03_Topp_10_swe.pdf OWASP Topp 10]
* Brown bag sessions
** Joseph McCray - You Spent All That Money And You Still Got Owned... [http://www.defcon.org/html/defcon-18/dc-18-speakers.html#McCray Info] [http://www.defcon.org/html/links/dc-archives/dc-18-archive.html#McCray Nerladdning] [http://www.youtube.com/watch?v=tJsNu0VRKYY YouTube]
** Moxie Marlinspike - SSL And The Future Of Authenticity [http://www.defcon.org/html/defcon-19/dc-19-speakers.html#Marlinspike Info] [http://www.defcon.org/html/links/dc-archives/dc-19-archive.html#Marlinspike Nerladdning] [http://www.youtube.com/watch?v=pDmj_xe7EIQ YouTube]

= In english =
<div style="border: 1px dotted #AAA; background-color: #FAFAFA; padding: 0.5em;">
{{Chapter Template|chaptername=East Sweden|extra=The chapter leader is [mailto:gustav.nyqvist@owasp.org Gustav Nyqvist], [mailto:david.johansson@owasp.org David Johansson] and [mailto:ake.bengtsson@owasp.org Åke Bengtsson].|mailinglistsite=http://lists.owasp.org/mailman/listinfo/OWASP-Sweden|emailarchives=http://lists.owasp.org/pipermail/OWASP-Sweden}}
</div>

[[Category:OWASP Chapter]]
[[Category:Europe]]
[[Category:Sweden]]

East Sweden

2014-03-01T14:16:29Z

Åke Bengtsson: Added invitation for a new event

<div style="float: right;">[[File:Owasp_east_sweden_logo.png]]</div>

= Information =
OWASP East Sweden är en lokalförening i Linköping, Norrköping och omnejd. Vi riktar oss främst till utvecklare, men även IT-arkitekter, kravställare och andra som berörs av applikationsutveckling är välkomna. Är du redan säkerhetsintresserad, eller vill fördjupa dig inom ämnet, får du gärna delta aktivt i vår förening för att sprida kunskapen vidare.

Lokalföreningens ledare är [mailto:gustav.nyqvist@owasp.org Gustav Nyqvist], [mailto:david.johansson@owasp.org David Johansson] och [mailto:ake.bengtsson@owasp.org Åke Bengtsson]

''Information in english at the bottom''

= Medlemskap =
Medlemskap är helt gratis, även om donationer är välkomna. Bli medlem genom att gå med i vår [http://lists.owasp.org/mailman/listinfo/OWASP-Sweden maillista], notera att vi delar maillista med de två andra lokalföreningarna i Sverige; [[Sweden]] och [[Gothenburg]].

= Möten =

<span id="event-incidenter-och-forensik"></span>
== Välkommen till event av OWASP East Sweden 13/3! ==
Härmed bjuder vi in till ett andra event i Linköping den 13:e mars om incidenter och forensik!

Vi har möjlighet att erbjuda dryck (öl, cider eller alkoholfritt) och macka eller liknande samt lokal tack vare vår sponsor Cybercom Group.

När alla kommit på plats börjar vi med en kort presentation om OWASP och OWASP East Sweden och därefter kommer kvällens två talare, Leif Nixon och Jonas Elmqvist, att ta vid.

Leif Nixon från Nixon Security kommer att prata om IT-säkerhetsincidenter.

''"Just nu pågår det allvarliga IT-säkerhetsincidenter som vi inte kan hantera på ett effektivt sätt. En del har du kanske hört talas om, andra inte. Det här är incidenter i Internet-skala, omfattande tusentals eller tiotusentals datorer, eller ibland enheter som vi inte betraktar som datorer. Vi kommer att studera några incidenter från verkliga livet och diskutera de tekniska och organisatoriska hindren för att bemöta dem."''

Jonas Elmqvist från Knowit Secure kommer att prata om Informationssäkerhet och IT-forensik inom betalkortsindustrin.

''"Varje vecka kan vi läsa eller höra om nya dataintrång runt om i världen. Inte sällan rör det sig om stulna kreditkortsuppgifter. Hur skyddas egentligen våra kreditkortsuppgifter när vi handlar på nätet eller i butiker? Vi tar oss igenom den säkerhetsstandard som styr aktörerna i betalkortsindustrin samt går igenom exempel från forensikutredningar inom området."''

Tidsplan:
* 17:30 Mingel, dryck och mat
* 18:00 Presentation OWASP och OWASP East Sweden
* 18:15 Jonas Elmqvist, Informationssäkerhet och IT-forensik inom betalkortsindustrin
* 19:15 Leif Nixon, IT-säkerhetsincidenter från verkliga livet
* 21:00 Diskussioner

'''Datum:''' 2014-03-13<br />
'''Plats:''' Cybercoms lokaler i Collegium Mjärdevi Science Park, Linköping, Teknikringen 7, våning 4

''Anmälan sker på [https://owasp-east-sweden-incidenter-och-forensik.eventbrite.com/ Eventbrite] och är obligatorisk om man hoppas få sig något att äta.''

''För att ange ev. matpreferenser eller annan kontakt, maila oss på owasp-east_sweden-owner@lists.owasp.org''

MVH Gustav, Marcus och Åke

<span id="event-startup"></span>
== Välkommen till uppstartsmöte för OWASP East Sweden 3/10! ==
Härmed bjuder vi in till vårt första event i Linköping den 3:e oktober.

Vi har möjlighet att erbjuda dryck (öl, cider eller alkoholfritt) och macka samt lokal tack vare vår sponsor Knowit Secure AB.

När alla kommit på plats börjar vi med att presentera OWASP, vilka vi är och våra planer med OWASP East Sweden. Därefter kommer vi göra en snabb genomgång av ett av OWASPs mest kända projekt, OWASP Top 10, vilket listar de 10 allvarligaste riskerna i webbapplikationer.

Därefter fortsätter vi lättsamt med sk. brown bag sessions, där vi i grupp ser och diskuterar inspelade föreläsningar från t.ex. AppSec, Sec-T, Defcon etc. Vi tar gärna emot förslag på bra videos, till det här eventet eller framtida events. Vi avslutar därefter med diskussioner om vad ni tyckte om kvällen och era förväntningar på kommande event.

Tidsplan:
* 17:30 Mingel, dryck och macka
* 18:00 Presentation OWASP och OWASP East Sweden
* 18:30 OWASP Top 10 2013
* 19:00 Brown bag sessions
* 21:00 Diskussioner

'''Datum:''' 2013-10-03<br />
'''Plats:''' Knowits lokaler i centrala Linköping, Platensgatan 8, högsta våningen

''Anmälan sker på [http://owasp-east-sweden-start.eventbrite.com/ Eventbrite] och är obligatorisk om man hoppas få sig en macka. Glöm inte att ange ev. matpreferenser.''

MVH David, Gustav och Åke

'''Uppföljning:'''
* Slides
** [https://www.owasp.org/images/4/4e/OES_2013-10-03_Introduction_swe.pdf Introduktion]
** [https://www.owasp.org/images/d/db/OES_2013-10-03_Topp_10_swe.pdf OWASP Topp 10]
* Brown bag sessions
** Joseph McCray - You Spent All That Money And You Still Got Owned... [http://www.defcon.org/html/defcon-18/dc-18-speakers.html#McCray Info] [http://www.defcon.org/html/links/dc-archives/dc-18-archive.html#McCray Nerladdning] [http://www.youtube.com/watch?v=tJsNu0VRKYY YouTube]
** Moxie Marlinspike - SSL And The Future Of Authenticity [http://www.defcon.org/html/defcon-19/dc-19-speakers.html#Marlinspike Info] [http://www.defcon.org/html/links/dc-archives/dc-19-archive.html#Marlinspike Nerladdning] [http://www.youtube.com/watch?v=pDmj_xe7EIQ YouTube]

= In english =
<div style="border: 1px dotted #AAA; background-color: #FAFAFA; padding: 0.5em;">
{{Chapter Template|chaptername=East Sweden|extra=The chapter leader is [mailto:gustav.nyqvist@owasp.org Gustav Nyqvist], [mailto:david.johansson@owasp.org David Johansson] and [mailto:ake.bengtsson@owasp.org Åke Bengtsson].|mailinglistsite=http://lists.owasp.org/mailman/listinfo/OWASP-Sweden|emailarchives=http://lists.owasp.org/pipermail/OWASP-Sweden}}
</div>

[[Category:OWASP Chapter]]
[[Category:Europe]]
[[Category:Sweden]]

East Sweden

2013-10-04T07:04:06Z

Åke Bengtsson: Added anchor

East Sweden

2013-10-04T06:59:11Z

Åke Bengtsson: Follow up on the startup meeting

File:OES 2013-10-03 Topp 10 swe.pdf

2013-10-04T06:47:47Z

Åke Bengtsson: OWASP East Sweden - OWASP Top 10 (Startup, 2013-10-03) Presentation of the OWASP Top 10 2013 project. In swedish

OWASP East Sweden - OWASP Top 10 (Startup, 2013-10-03)

Presentation of the OWASP Top 10 2013 project.

In swedish

File:OES 2013-10-03 Introduction swe.pdf

2013-10-04T06:46:45Z

Åke Bengtsson: OWASP East Sweden Introduction (Startup, 2013-10-03) Introduces OWASP and OWASP East Sweden In swedish

OWASP East Sweden Introduction (Startup, 2013-10-03)

Introduces OWASP and OWASP East Sweden

In swedish

East Sweden

2013-10-02T11:13:57Z

Åke Bengtsson:

East Sweden

2013-09-21T16:20:54Z

Åke Bengtsson:

East Sweden

2013-09-21T15:44:36Z

Åke Bengtsson: Added information and membership

East Sweden

2013-09-21T15:08:19Z

Åke Bengtsson: Moved the chapter template to the bottom

<div style="float: right;">[[File:Owasp_east_sweden_logo.png]]</div>

== Information ==
''English information at the bottom''

== Lokala nyheter ==

'''Välkommen till uppstartsmöte för OWASP East Sweden 3/10!'''

Härmed bjuder vi in till vårt första event i Linköping den 3:e oktober.

Vi har möjlighet att erbjuda dryck (öl, cider eller alkoholfritt) och macka samt lokal tack vare vår sponsor Knowit Secure AB.

När alla kommit på plats börjar vi med att presentera OWASP, vilka vi är och våra planer med OWASP East Sweden. Därefter kommer vi göra en snabb genomgång av ett av OWASPs mest kända projekt, OWASP Top 10, vilket listar de 10 allvarligaste riskerna i webbapplikationer.

Därefter fortsätter vi lättsamt med sk. brown bag sessions, där vi i grupp ser och diskuterar inspelade föreläsningar från t.ex. AppSec, Sec-T, Defcon etc. Vi tar gärna emot förslag på bra videos, till det här eventet eller framtida events. Vi avslutar därefter med diskussioner om vad ni tyckte om kvällen och era förväntningar på kommande event.

Tidsplan:
* 17:30 Mingel, dryck och macka
* 18:00 Presentation OWASP och OWASP East Sweden
* 18:30 OWSAP Top 10 2013
* 19:00 Brown bag sessions
* 21:00 Diskussioner

'''Datum:''' 2013-10-03<br />
'''Plats:''' Knowits lokaler i centrala Linköping, Platensgatan 8, högsta våningen

''Anmälan sker på [http://owasp-east-sweden-start.eventbrite.com/ Eventbrite] och är obligatorisk om man hoppas få sig en macka. Glöm inte att ange ev. matpreferenser.''

= In english =
<div style="border: 1px dotted #AAA; background-color: #FAFAFA; padding: 0.5em;">
{{Chapter Template|chaptername=East Sweden|extra=The chapter leader is [mailto:gustav.nyqvist@owasp.org Gustav Nyqvist], [mailto:david.johansson@owasp.org David Johansson] and [mailto:ake.bengtsson@owasp.org Åke Bengtsson].|mailinglistsite=http://lists.owasp.org/mailman/listinfo/OWASP-Sweden|emailarchives=http://lists.owasp.org/pipermail/OWASP-Sweden}}
</div>

[[Category:OWASP Chapter]]
[[Category:Europe]]
[[Category:Sweden]]

East Sweden

2013-09-21T14:52:31Z

Åke Bengtsson: Added logo

[[File:Owasp_east_sweden_logo.png]]

{{Chapter Template|chaptername=East Sweden|extra=The chapter leader is [mailto:gustav.nyqvist@owasp.org Gustav Nyqvist], [mailto:david.johansson@owasp.org David Johansson] and [mailto:ake.bengtsson@owasp.org Åke Bengtsson].|mailinglistsite=http://lists.owasp.org/mailman/listinfo/OWASP-Sweden|emailarchives=http://lists.owasp.org/pipermail/OWASP-Sweden}}

== Lokala nyheter ==

'''Välkommen till uppstartsmöte för OWASP East Sweden 3/10!'''

Härmed bjuder vi in till vårt första event i Linköping den 3:e oktober.

Vi har möjlighet att erbjuda dryck (öl, cider eller alkoholfritt) och macka samt lokal tack vare vår sponsor Knowit Secure AB.

När alla kommit på plats börjar vi med att presentera OWASP, vilka vi är och våra planer med OWASP East Sweden. Därefter kommer vi göra en snabb genomgång av ett av OWASPs mest kända projekt, OWASP Top 10, vilket listar de 10 allvarligaste riskerna i webbapplikationer.

Därefter fortsätter vi lättsamt med sk. brown bag sessions, där vi i grupp ser och diskuterar inspelade föreläsningar från t.ex. AppSec, Sec-T, Defcon etc. Vi tar gärna emot förslag på bra videos, till det här eventet eller framtida events. Vi avslutar därefter med diskussioner om vad ni tyckte om kvällen och era förväntningar på kommande event.

Tidsplan:
* 17:30 Mingel, dryck och macka
* 18:00 Presentation OWASP och OWASP East Sweden
* 18:30 OWSAP Top 10 2013
* 19:00 Brown bag sessions
* 21:00 Diskussioner

'''Datum:''' 2013-10-03<br />
'''Plats:''' Knowits lokaler i centrala Linköping, Platensgatan 8, högsta våningen

''Anmälan sker på [http://owasp-east-sweden-start.eventbrite.com/ Eventbrite] och är obligatorisk om man hoppas få sig en macka. Glöm inte att ange ev. matpreferenser.''

[[Category:OWASP Chapter]]
[[Category:Europe]]
[[Category:Sweden]]

File:Owasp east sweden logo.png

2013-09-21T14:51:40Z

Åke Bengtsson: The logo for OWASP East Sweden

The logo for OWASP East Sweden

East Sweden

2013-09-21T13:54:44Z

Åke Bengtsson: Changed the mailing list

{{Chapter Template|chaptername=East Sweden|extra=The chapter leader is [mailto:gustav.nyqvist@owasp.org Gustav Nyqvist], [mailto:david.johansson@owasp.org David Johansson] and [mailto:ake.bengtsson@owasp.org Åke Bengtsson].|mailinglistsite=http://lists.owasp.org/mailman/listinfo/OWASP-Sweden|emailarchives=http://lists.owasp.org/pipermail/OWASP-Sweden}}

== Lokala nyheter ==

'''Välkommen till uppstartsmöte för OWASP East Sweden 3/10!'''

Härmed bjuder vi in till vårt första event i Linköping den 3:e oktober.

Vi har möjlighet att erbjuda dryck (öl, cider eller alkoholfritt) och macka samt lokal tack vare vår sponsor Knowit Secure AB.

När alla kommit på plats börjar vi med att presentera OWASP, vilka vi är och våra planer med OWASP East Sweden. Därefter kommer vi göra en snabb genomgång av ett av OWASPs mest kända projekt, OWASP Top 10, vilket listar de 10 allvarligaste riskerna i webbapplikationer.

Därefter fortsätter vi lättsamt med sk. brown bag sessions, där vi i grupp ser och diskuterar inspelade föreläsningar från t.ex. AppSec, Sec-T, Defcon etc. Vi tar gärna emot förslag på bra videos, till det här eventet eller framtida events. Vi avslutar därefter med diskussioner om vad ni tyckte om kvällen och era förväntningar på kommande event.

Tidsplan:
* 17:30 Mingel, dryck och macka
* 18:00 Presentation OWASP och OWASP East Sweden
* 18:30 OWSAP Top 10 2013
* 19:00 Brown bag sessions
* 21:00 Diskussioner

'''Datum:''' 2013-10-03<br />
'''Plats:''' Knowits lokaler i centrala Linköping, Platensgatan 8, högsta våningen

''Anmälan sker på [http://owasp-east-sweden-start.eventbrite.com/ Eventbrite] och är obligatorisk om man hoppas få sig en macka. Glöm inte att ange ev. matpreferenser.''

[[Category:OWASP Chapter]]
[[Category:Europe]]
[[Category:Sweden]]

East Sweden

2013-09-21T13:50:03Z

Åke Bengtsson: First event :-D

{{Chapter Template|chaptername=East Sweden|extra=The chapter leader is [mailto:gustav.nyqvist@owasp.org Gustav Nyqvist], [mailto:david.johansson@owasp.org David Johansson] and [mailto:ake.bengtsson@owasp.org Åke Bengtsson].|mailinglistsite=http://lists.owasp.org/mailman/listinfo/owasp-East_Sweden|emailarchives=http://lists.owasp.org/pipermail/owasp-East_Sweden}}

== Lokala nyheter ==

'''Välkommen till uppstartsmöte för OWASP East Sweden 3/10!'''

Härmed bjuder vi in till vårt första event i Linköping den 3:e oktober.

Vi har möjlighet att erbjuda dryck (öl, cider eller alkoholfritt) och macka samt lokal tack vare vår sponsor Knowit Secure AB.

När alla kommit på plats börjar vi med att presentera OWASP, vilka vi är och våra planer med OWASP East Sweden. Därefter kommer vi göra en snabb genomgång av ett av OWASPs mest kända projekt, OWASP Top 10, vilket listar de 10 allvarligaste riskerna i webbapplikationer.

Därefter fortsätter vi lättsamt med sk. brown bag sessions, där vi i grupp ser och diskuterar inspelade föreläsningar från t.ex. AppSec, Sec-T, Defcon etc. Vi tar gärna emot förslag på bra videos, till det här eventet eller framtida events. Vi avslutar därefter med diskussioner om vad ni tyckte om kvällen och era förväntningar på kommande event.

Tidsplan:
* 17:30 Mingel, dryck och macka
* 18:00 Presentation OWASP och OWASP East Sweden
* 18:30 OWSAP Top 10 2013
* 19:00 Brown bag sessions
* 21:00 Diskussioner

'''Datum:''' 2013-10-03<br />
'''Plats:''' Knowits lokaler i centrala Linköping, Platensgatan 8, högsta våningen

''Anmälan sker på [http://owasp-east-sweden-start.eventbrite.com/ Eventbrite] och är obligatorisk om man hoppas få sig en macka. Glöm inte att ange ev. matpreferenser.''

[[Category:OWASP Chapter]]
[[Category:Europe]]
[[Category:Sweden]]

Category:OWASP Top Ten Project

2013-09-19T19:46:18Z

Åke Bengtsson: Added myself as swedish translator

{{OWASP Book|1400974}}

{{Social Media Links}}

= OWASP Top 10 for 2013 =

'''Welcome to the OWASP Top Ten Project''' - if you're looking for the OWASP Top 10 Mobile [[OWASP_Mobile_Security_Project#tab=Top_Ten_Mobile_Risks | Click Here]]

On June 12, 2013 the OWASP Top 10 for 2013 was officially released. This version was updated based on numerous comments received during the comment period after the release candidate was released in Feb. 2013.

* [http://owasptop10.googlecode.com/files/OWASP%20Top%2010%20-%202013.pdf OWASP Top 10 2013 document (PDF)].
* [[Top_10_2013 | OWASP Top 10 2013 - Wiki.]]
* [http://owasptop10.googlecode.com/files/OWASP%20Top%2010%20-%202013%20-%20French.pdf OWASP Top 10 2013 - French (PDF)].
* [https://www.owasp.org/images/5/51/OWASP_Top_10_2013-Chinese-V1.2.pdf OWASP Top 10 2013 - Chinese (PDF)].
* [https://www.owasp.org/images/2/2c/OWASP_Top_10_-_2013_Final_-_Korean.pdf OWASP Top 10 2013 - Korea (PDF)].
* [http://owasptop10.googlecode.com/files/OWASP_Top_10_-_2013_Brazilian_Portuguese.pdf OWASP Top 10 2013 - Brazilian Portuguese (PDF)].
* [http://owasptop10.googlecode.com/files/OWASP_Top-10_2013%20-%20Changes-from-2010.pptx OWASP Top 10 2013 Presentation - Focusing on What Changed Since 2010 (PPTX)]
* [http://owasptop10.googlecode.com/files/OWASP_Top-10_2013%20-%20Presentation.pptx OWASP Top 10 2013 Presentation - Presenting Each Item in the Top 10 (PPTX)].

The OWASP Top 10 - 2013 is as follows:

* [[Top_10_2013-A1-Injection | A1 Injection]]
* [[Top_10_2013-A2-Broken_Authentication_and_Session_Management | A2 Broken Authentication and Session Management]]
* [[Top_10_2013-A3-Cross-Site_Scripting_(XSS) | A3 Cross-Site Scripting (XSS)]]
* [[Top_10_2013-A4-Insecure_Direct_Object_References | A4 Insecure Direct Object References]]
* [[Top_10_2013-A5-Security_Misconfiguration | A5 Security Misconfiguration]]
* [[Top_10_2013-A6-Sensitive_Data_Exposure | A6 Sensitive Data Exposure]]
* [[Top_10_2013-A7-Missing_Function_Level_Access_Control | A7 Missing Function Level Access Control]]
* [[Top_10_2013-A8-Cross-Site_Request_Forgery_(CSRF) | A8 Cross-Site Request Forgery (CSRF)]]
* [[Top_10_2013-A9-Using_Components_with_Known_Vulnerabilities | A9 Using Components with Known Vulnerabilities]]
* [[Top_10_2013-A10-Unvalidated_Redirects_and_Forwards | A10 Unvalidated Redirects and Forwards]]

If you are interested, the methodology for how the Top 10 is produced is now documented here: [[Top_10_2013/ProjectMethodology | OWASP Top 10 Development Methodology]]

Please help us make sure every developer in the ENTIRE WORLD knows about the OWASP Top 10 by helping to spread the word!!!

As you help us spread the word, please emphasize:

*OWASP is reaching out to developers, not just the application security community
*The Top 10 is about managing risk, not just avoiding vulnerabilities
*To manage these risks, organizations need an application risk management program, not just awareness training, app testing, and remediation

We need to encourage organizations to get off the penetrate and patch mentality. As Jeff Williams said in his 2009 OWASP AppSec DC Keynote: “we’ll never hack our way secure – it’s going to take a culture change” for organizations to properly address application security.

== Introduction ==

The OWASP Top Ten provides a powerful awareness document for web application security. The OWASP Top Ten represents a broad consensus about what the most critical web application security flaws are. Project members include a variety of security experts from around the world who have shared their expertise to produce this list. Versions of the 2007 and 2010 version were translated into English, French, Spanish, Japanese, Korean and Turkish and other languages. Translation efforts for the 2013 version are underway and they will be posted as they become available.

We urge all companies to adopt this awareness document within their organization and start the process of ensuring that their web applications do not contain these flaws. Adopting the OWASP Top Ten is perhaps the most effective first step towards changing the software development culture within your organization into one that produces secure code.

== Changes between 2010 and 2013 Editions ==

The OWASP Top 10 - 2013 includes the following changes as compared to the 2010 edition:

* A1 Injection
* A2 Broken Authentication and Session Management (was formerly 2010-A3)
* A3 Cross-Site Scripting (XSS) (was formerly 2010-A2)
* A4 Insecure Direct Object References
* A5 Security Misconfiguration (was formerly 2010-A6)
* A6 Sensitive Data Exposure (2010-A7 Insecure Cryptographic Storage and 2010-A9 Insufficient Transport Layer Protection were merged to form 2013-A6)
* A7 Missing Function Level Access Control (renamed/broadened from 2010-A8 Failure to Restrict URL Access)
* A8 Cross-Site Request Forgery (CSRF) (was formerly 2010-A5)
* A9 Using Components with Known Vulnerabilities (new but was part of 2010-A6 – Security Misconfiguration)
* A10 Unvalidated Redirects and Forwards

== 2013 Versions ==

2013 Edition:

*[http://owasptop10.googlecode.com/files/OWASP%20Top%2010%20-%202013.pdf OWASP Top 10 2013 - PDF]
*[[Top_10_2013 | OWASP Top 10 2013 - wiki]]
*[http://owasptop10.googlecode.com/files/OWASP%20Top%2010%20-%202013%20-%20French.pdf OWASP Top 10 2013 - French (PDF)].
*[https://www.owasp.org/images/5/51/OWASP_Top_10_2013-Chinese-V1.2.pdf OWASP Top 10 2013 - Chinese (PDF)].
*[https://www.owasp.org/images/2/2c/OWASP_Top_10_-_2013_Final_-_Korean.pdf OWASP Top 10 2013 - Korea (PDF)].
*[http://owasptop10.googlecode.com/files/OWASP_Top_10_-_2013_Brazilian_Portuguese.pdf OWASP Top 10 2013 - Brazilian Portuguese (PDF)].

*[http://owasptop10.googlecode.com/files/OWASP%20Top%2010%20-%202013%20-%20RC1.pdf OWASP Top 10 - 2013 - Release Candidate]
*[https://www.owasp.org/images/3/3d/OWASP_Top_10_-_2013_Final_Release_-_Change_Log.docx OWASP Top 10 - 2013 - Final Release - Change Log (docx)]

== Feedback ==

Please let us know how your organization is using the Top Ten. Include your name, organization's name, and brief description of how you use the list. Thanks for supporting OWASP!

We hope you find the information in the OWASP Top Ten useful. Please contribute back to the project by sending your comments, questions, and suggestions to topten@lists.owasp.org Thanks!

To join the OWASP Top Ten mailing list or view the archives, please visit the [http://lists.owasp.org/mailman/listinfo/owasp-topten subscription page.]

== Project Sponsors ==

The OWASP Top Ten project is sponsored by {{MemberLinks|link=http://www.aspectsecurity.com|logo=Aspect_logo_owasp.jpg}}



= OWASP Top 10 for 2010 =

On April 19, 2010 the final version of the OWASP Top 10 for 2010 was released, and here is the associated [[OWASPTop10-2010-PressRelease|press release]]. This version was updated based on numerous comments received during the comment period after the release candidate was released in Nov. 2009.

*[http://owasptop10.googlecode.com/files/OWASP%20Top%2010%20-%202010.pdf OWASP Top 10 - 2010 Document]
*[[Top 10 2010|OWASP Top 10 - 2010 - wiki]]
*[http://owasptop10.googlecode.com/files/OWASP_Top_10_-_2010%20Presentation.pptx OWASP Top 10 - 2010 Presentation]
*[http://blip.tv/owasp-appsec-conference-in-europe/day2_track1_1430-1505-3936900 OWASP Top 10 Video of the Presentation above - this focused alot on the Top 10 for 2010 approach, rather than the details. (From OWASP AppSec EU 2010)]
*[http://www.vimeo.com/9006276 OWASP Top 10 Video of this Presentation when the Top 10 for 2010 was 1st released for comment - this goes through each item in the Top 10. (From OWASP AppSec DC 2009)]

The OWASP Top 10 Web Application Security Risks for 2010 are:

*[[Top_10_2010-A1|A1: Injection]]
*[[Top_10_2010-A2|A2: Cross-Site Scripting (XSS)]]
*[[Top_10_2010-A3|A3: Broken Authentication and Session Management]]
*[[Top_10_2010-A4|A4: Insecure Direct Object References]]
*[[Top_10_2010-A5|A5: Cross-Site Request Forgery (CSRF)]]
*[[Top_10_2010-A6|A6: Security Misconfiguration]]
*[[Top_10_2010-A7|A7: Insecure Cryptographic Storage]]
*[[Top_10_2010-A8|A8: Failure to Restrict URL Access]]
*[[Top_10_2010-A9|A9: Insufficient Transport Layer Protection]]
*[[Top_10_2010-A10|A10: Unvalidated Redirects and Forwards]]

== Introduction ==

The OWASP Top Ten provides a powerful awareness document for web application security. The OWASP Top Ten represents a broad consensus about what the most critical web application security flaws are. Project members include a variety of security experts from around the world who have shared their expertise to produce this list. Versions of the 2007 were translated into English, French, Spanish, Japanese, Korean and Turkish and other languages and the 2010 version was translated into even more languages. See below for all the translated versions.

== 2010 Versions ==

2010 Edition:

*[http://owasptop10.googlecode.com/files/OWASP%20Top%2010%20-%202010.pdf OWASP Top 10 2010 - PDF]
*[[Top 10 2010|OWASP Top 10 2010 - wiki]]

2010 Translations:

*[http://owasptop10.googlecode.com/files/OWASP%20Top%2010%20-%202010%20French.pdf OWASP Top 10 2010 - French PDF]
*[https://www.owasp.org/images/b/b8/OWASPTop10_DE_Version_1_0.pdf OWASP Top 10 2010 - German PDF]
*[http://owasptop10.googlecode.com/files/OWASP%20Top%2010%20-%202010%20Indonesian.pdf OWASP Top 10 2010 - Indonesian PDF]
*[http://www.owasp.org/images/f/f9/OWASP_Top_10_-_2010_ITA.pdf OWASP Top 10 2010 - Italian PDF]
*[http://owasptop10.googlecode.com/files/OWASP%20Top%2010%20-%202010%20Japanese-A4.pdf OWASP Top 10 2010 - Japanese PDF]
*[http://owasptop10.googlecode.com/files/OWASP%20Top%2010%20-%202010%20Korean.pdf OWASP Top 10 2010 - Korean PDF]
*[http://owasptop10.googlecode.com/files/OWASP%20Top%2010%20-%202010%20Spanish.pdf OWASP Top 10 2010 - Spanish PDF]
*[http://www.owasp.org/images/8/86/OWASP_Top_10_-_2010_FINAL_%28spanish%29.pptx OWASP Top 10 2010 - Spanish PPT]
*[http://www.owasp.org/images/a/a9/OWASP_Top_10_2010_Chinese_V1.0_Released.pdf OWASP Top 10 2010 - Chinese PDF / 这里下载PDF格式文档]
*[http://owasptop10.googlecode.com/files/OWASPTop%2010%20-%202010%20Vietnamese.pdf OWASP Top 10 2010 - Vietnamese PDF]
*[https://www.owasp.org/images/c/cd/OWASP_Top_10_Heb.pdf OWASP Top 10 2010 - Hebrew PDF]

2010 Release Candidate:

*[http://www.owasp.org/index.php/File:OWASP_T10_-_2010_rc1.pdf OWASP Top 10 2010 Release Candidate]
*[http://www.owasp.org/images/e/e1/OWASP_Top_10_RC-Public_Comments.docx OWASP Top 10 2010 Release Candidate Comments], except for one set of scanned comments [http://www.owasp.org/images/2/2e/OWASP_T10_-_2010_rc1_cmts_Kai_Jendrian.pdf which are here].

Previous versions:

*[http://www.owasp.org/images/e/e8/OWASP_Top_10_2007.pdf OWASP Top 10 2007 - PDF]
*[[Top 10 2007|OWASP Top 10 2007 - wiki]]
*[http://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project#tab=Project_Details OWASP Top 10 2007 - PDF Translations are here]
*[[Top 10 2004|OWASP Top 10 2004 - wiki]]

= Translation Efforts =

Efforts are underway in numerous languages to translate the OWASP Top 10 for 2013. If you are interested in helping, please contact the other members of the team for the language you are interested in contributing to, or if you don't see your language listed, please let me know you want to help and we'll form a volunteer group for your language too!!

Here is the original source document for the [https://www.owasp.org/images/4/4d/OWASP_Top_10_-_2013_Final_-_English.pptx OWASP Top 10 - 2013 which is in PowerPoint]. Please use this document as the basis for your translation efforts.

Completed Translations:

*French 2013: [http://owasptop10.googlecode.com/files/OWASP%20Top%2010%20-%202013%20-%20French.pdf OWASP Top 10 2013 - French PDF] Ludovic Petit: Ludovic.Petit@owasp.org, Sébastien Gioria: Sebastien.Gioria@owasp.org, Erwan Abgrall: g4l4drim@gmail.com, Benjamin Avet: benjamin.avet@gmail.com, Jocelyn Aubert: jocelyn.aubert@owasp.org, Damien Azambour: damien.azambourg@owasp.org, Aline Barthelemy: aline.barthelemy@fr.abb.com, Moulay Abdsamad Belghiti: abdsamad.belghiti@gmail.com, Gregory Blanc: gregory.blanc@gmail.com, Clément Capel: clement.capel@sfr.com, Etienne Capgras: Etienne.capgras@solucom.fr, Julien Cayssol: julien@aqwz.com, Antonio Fontes: antonio.fontes@owasp.org, Ely de Travieso: Ely.detravieso@owasp.org, Nicolas Grégoire: nicolas.gregoire@agarri.fr, Valérie Lasserre: valerie.lasserre@gmx.fr, Antoine Laureau: antoine.laureau@owasp.org, Guillaume Lopes: lopes.guillaume@free.fr, Gilles Morain: gilles.morain@gmail.com, Christophe Pekar: christophe.pekar@owasp.org, Olivier Perret: perrets@free.fr, Michel Prunet: michel.prunet@owasp.org, Olivier Revollat: revollat@gmail.com, Aymeric Tabourin: aymeric.tabourin@orange.com
*Brazilian Portuguese 2013: [http://owasptop10.googlecode.com/files/OWASP_Top_10_-_2013_Brazilian_Portuguese.pdf OWASP Top 10 2013 - Brazilian Portuguese (PDF)] Translated by: Carlos Serrão, Marcio Machry, Ícaro Evangelista de Torres, Carlo Marcelo Revoredo da Silva, Luiz Vieira, Suely Ramalho de Mello, Jorge Olímpia, Daniel Quintão, Mauro Risonho de Paula Assumpção, Marcelo Lopes, Caio Dias, Rodrigo Gularte
*French 2010: [http://owasptop10.googlecode.com/files/OWASP%20Top%2010%20-%202010%20French.pdf OWASP Top 10 2010 - French PDF] ludovic.petit@owasp.org, sebastien.gioria@owasp.org, antonio.fontes@owasp.org, benoit.guerette@owasp.org, Jocelyn.aubert@owasp.org, Eric.Garreau@gemalto.com, Guillaume.Huysmans@gemalto.com
*German: [https://www.owasp.org/images/b/b8/OWASPTop10_DE_Version_1_0.pdf OWASP Top 10 - German PDF] top10@owasp.de which is Frank Dölitzscher, Tobias Glemser, Dr. Ingo Hanke, [[User:Kai_Jendrian|Kai Jendrian]], [[User:Ralf_Reinhardt|Ralf Reinhardt]], Michael Schäfer
*Indonesian: [http://owasptop10.googlecode.com/files/OWASP%20Top%2010%20-%202010%20Indonesian.pdf OWASP Top 10 2010 - Indonesian PDF] Tedi Heriyanto (coordinator), Lathifah Arief, Tri A Sundara, Zaki Akhmad
*Italian: [http://www.owasp.org/images/f/f9/OWASP_Top_10_-_2010_ITA.pdf OWASP Top 10 2010 - Italian PDF] Simone Onofri, Paolo Perego, Massimo Biagiotti, Edoardo Viscosi, Salvatore Fiorillo, Roberto Battistoni, Loredana Mancini, Michele Nesta, Paco Schiaffella, Lucilla Mancini, Gerardo Di Giacomo, Valentino Squilloni
*Japanese: [http://owasptop10.googlecode.com/files/OWASP%20Top%2010%20-%202010%20Japanese-A4.pdf OWASP Top 10 2010 - Japanese PDF] cecil.su@owasp.org, Dr. Masayuki Hisada, Yoshimasa Kawamoto, Ryusuke Sakamoto, Keisuke Seki, Shin Umemoto, Takashi Arima
*Korean 2013: [https://www.owasp.org/images/2/2c/OWASP_Top_10_-_2013_Final_-_Korean.pdf OWASP Top 10 2013 - Korean PDF] (이름가나다순) 김병효:byounghyo.kim@owasp.org, 김지원:jiwon.kim@owasp.or.kr, 김효근:katuri@katuri.kr, 박정훈:xelion@gmail.com, 성영모:youngmo.seong@owasp.or.kr, 성윤기:yune.sung@owasp.org, 송보영:boyoung.song@owasp.or.kr, 송창기:factor7@naver.com, 유정호:griphis77@gmail.com, 장상민:sangmin.jang@owasp.or.kr, 전영재:youngjae.jeon@owasp.org, 정가람:tgcarrot@gmail.com, 정홍순:jhs728@gmail.com, 조민재:johnny.cho@owasp.org,허성무:issimplenet@gmail.com
*Korean 2010: [http://owasptop10.googlecode.com/files/OWASP%20Top%2010%20-%202010%20Korean.pdf OWASP Top 10 2010 - Korean PDF] Hyungkeun Park, (mirrk1@gmail.com)
*Spanish: [http://owasptop10.googlecode.com/files/OWASP%20Top%2010%20-%202010%20Spanish.pdf OWASP Top 10 2010 - Spanish PDF] *Daniel Cabezas Molina , Edgar Sanchez, Juan Carlos Calderon, Jose Antonio Guasch, Paulo Coronado, Rodrigo Marcos, Vicente Aguilera
*Chinese: [http://www.owasp.org/images/a/a9/OWASP_Top_10_2010_Chinese_V1.0_Released.pdf OWASP Top 10 2010 - Chinese PDF] 感谢以下为中文版本做出贡献的翻译人员和审核人员: Rip Torn, 钟卫林, 高雯, 王颉, 于振东
*Vietnamese: [http://owasptop10.googlecode.com/files/OWASPTop%2010%20-%202010%20Vietnamese.pdf OWASP Top 10 2010 - Vietnamese PDF] (NEW) Translation lead by Cecil Su - Translation Team: Dang Hoang Vu, Nguyen Ba Tien, Nguyen Tang Hung, Luong Dieu Phuong, Huynh Thien Tam
*Hebrew (New): [[OWASP_Top10_Hebrew|OWASP Top 10 Hebrew]]. Lead by Or Katz, see translation page for list of contributors.

Volunteer Translation Efforts Underway:

*Portuguese: carlos.j.serrao@gmail.com; taquiles@gmail.com; wagner.elias@owasp.org; victoreufrasio@gmail.com; leo.cavallari@owasp.org; victoreufrasio@gmail.com;
*Greek: Konstantinos Papapanagiotou (conpap@di.uoa.gr)
*Turkish: bora@abi.com.tr
*Malay: cecil.su@owasp.org
*Czech: petr.zavodsky@owasp-czech-republic.cz
*Dutch: marinus@kuivenhoven.com
*Arabic: Mohannad.Shahat@owasp.org
*Swedish: ake.bengtsson@owasp.org

= Project Details =

{{:GPC_Project_Details/OWASP_Top10 | OWASP Project Identification Tab}}

= How Are Companies-Projects-Vendors Using the OWASP Top 10 =

Click the links for more details on each use!

'''Warning''': these articles have not been rated for accuracy by OWASP. Product companies should be extremely careful about claiming to "cover" or "ensure compliance" with the OWASP Top 10. The current state-of-the-art for automated detection (scanners and static analysis) and prevention (waf) is nowhere near sufficient to claim adequate coverage of the issues in the Top 10. Nevertheless, using the Top 10 as a simple way to communicate security to end users is effective.

;[http://blogs.msdn.com/b/sdl/archive/2008/05/01/sdl-and-the-owasp-top-ten.aspx Microsoft]
:as a way to measure the coverage of their SDL and improve security

;[http://www.nsa.gov/applications/search/index.cfm?q=owasp NSA]
:in their developer guidance on web application security

;[https://www.pcisecuritystandards.org/index.shtml PCI Council]
:as part of the Payment Card Industry Data Security Standard (PCI DSS)

;[http://community.citrix.com/display/ocb/2010/06/02/NetScaler+Application+Firewall+and+the+OWASP+Top+10+2010 Citrix]
:in a guide showing how to configure their NetScalar product

;[http://msdn.microsoft.com/en-us/library/dd129898.aspx Microsoft]
:to show how "T10 threats are handled by the security design and test procedures of Microsoft"

;[http://www.web2py.com/examples/default/security web2py]
:to demonstrate the security of this Python web framework

;[http://www.owasp.org/index.php/Commentary_OWASP_Top_Ten_2004_Project Oracle]
:for developer awareness

;[http://www.theatremanagerhelp.com/book/export/html/1640 TheatreManager]
:to show how their product is secure for web use

;[http://knol.google.com/k/automated-vulnerabilty-scanners-and-the-owasp-top-10# WhiteHat]
:as a way to explain the coverage of their service

;[http://www.imperva.com/docs/TB_SecureSphere_OWASP_2010-Top-Ten.pdf Imperva]
:to show the coverage of the SecureSphere tool

;[http://blog.cenzic.com/public/item/254309 Cenzic]
:to enable "focused scans for compliance testing with the updated PCI standard"

== Users and Adopters ==

The U.S. Federal Trade Commission strongly recommends that all companies use the OWASP Top Ten and ensure that their partners do the same. In addition, the U.S. Defense Information Systems Agency (DISA) has listed the OWASP Top Ten as key best practices that should be used as part of the DoD Information Assurance Certification and Accreditation Process ([http://iase.disa.mil/diacap/ DIACAP]).

In the commercial market, the [http://usa.visa.com/download/business/accepting_visa/ops_risk_management/cisp_PCI_Data_Security_Standard.pdf Payment Card Industry (PCI) standard] has adopted the OWASP Top Ten, and requires (among other things) that all merchants get a security code review for all their custom code. In addition, a broad range of companies and agencies around the globe are also using the OWASP Top Ten, including:

*A.G. Edwards
*Bank of Newport
*Best Software
*British Telecom
*Bureau of Alcohol, Tobacco, and Firearms (ATF)
*Citibank
*Cboss Internet
*Cognizant
*Contra Costa County, CA
*Corillian Corporation
*Digital Payment Technologies
*Foundstone Strategic Security
*HP
*IBM Global Services
*MorphoTrust USA
*National Australia Bank
*Norfolk Southern
*OneSAS.com
*Online Business Systems
*Predictive Systems
*Price Waterhouse Coopers
*Recreational Equipment, Inc. (REI)
*SSP Solutions
*Samsung SDS (Korea)
*Sempra Energy
*Sprint
*Sun Microsystems
*Swiss Federal Institute of Technology
*Symantec
*Texas Dept of Human Services
*The Hartford
*Zapatec
*ZipForm
*...and many others

Several schools have also adopted the OWASP Top Ten as a part of their curriculum, including Michigan State University (MSU), and the University of California at San Diego (UCSD).

Several open source projects have adopted the OWASP Top Ten as part of their security audits, including:

*[http://plone.org Plone open source CMS project] (managed by the Plone Foundation)

= Other uses and resources =

* [[OWASP_Top_10/Mapping_to_WHID | OWASP Top 10 Mapped to the Web Hacking Incident Database]]

__NOTOC__ <headertabs />

[[Category:OWASP_Project]] [[Category:OWASP_Document]] [[Category:OWASP_Download]] [[Category:OWASP_Release_Quality_Document]]

User:Åke Bengtsson

2013-06-18T06:52:47Z

Åke Bengtsson:

Co-founder of OWASP East Sweden

Reach me at [mailto:ake.bengtsson@owasp.org ake.bengtsson@owasp.org].

East Sweden

2013-06-18T06:50:26Z

Åke Bengtsson: Added myself and David