Hacking et sécurité avec Node.js

Objectifs

• Comprendre les principales menaces de sécurité dans les applications Node.js
• Maîtriser les bonnes pratiques de développement sécurisé
• Appliquer des techniques de protection contre les vulnérabilités courantes (OWASP)
• Configurer et utiliser des outils pour auditer et renforcer la sécurité des applications

Description

# Jour 1 : Principes fondamentaux et vulnérabilités courantes - **Introduction à la sécurité des applications Node.js**

• Contexte et enjeux de la sécurité des applications web
• Risques spécifiques aux applications Node.js
• Exemples d'attaques et impacts associés
• Architecture Node.js et implications sur la sécurité
• Modèle d'événements et de non-blocking I/O
• Gestion des dépendances et risques liés à npm
• Les bases des failles de sécurité
• Principes d'authentification et d'autorisation
• Introduction aux référentiels de sécurité (OWASP Top 10 et WSTG) -

Vulnérabilités courantes et leurs corrections

• - Injection de code et command injection
• Identifier les failles d'injection dans Node.js
• Protection contre les injections SQL/NoSQL et d'autres commandes
• Cross-Site Scripting (XSS)
• Types de XSS et leur détection
• Techniques de prévention
• escape
• Content Security Policy (CSP)
• Gestion des sessions et des tokens
• Sécurisation des cookies et des JWT
• Risques liés au stockage client/serveur
• Autres vulnérabilités courantes
• Injections SQL (et NoSQL)
• Exécution de code distant (RCE)
• Cross-Site Request Forgery (CSRF)
• Exposition des données sensibles

*Mise en pratique

• * _- Analyse d'une application vulnérable (ou de différents codes source) pour identifier des problèmes courants - Identification et correction de vulnérabilités dans une application Node.js préparée_

# Jour 2 : Bonnes pratiques et outils de sécurité - **Sécurisation des API et des données**

• Bonnes pratiques pour sécuriser les API REST et GraphQL
• Implémentation d'authentification et d'autorisation robustes
• Limitation des accès
• rate limiting (protection contre brute-force)
• IP whitelisting
• Validation des entrées utilisateurs avec des outils comme Joi ou Zod
• Chiffrement et protection des données
• Utilisation de HTTPS (SSL/TLS) et la gestion des certificats
• Stockage sécurisé des mots de passe (bcrypt, Argon2)
• Chiffrement des données sensibles avec Node.js (crypto module)
• Gestion des erreurs et logs
• Ne pas exposer d'informations sensibles dans les logs
• Centralisation et surveillance des logs pour détecter les attaques -

Audit, Tests et Surveillance

• - Audit de sécurité des dépendances npm
• Identifier et corriger les dépendances vulnérables avec npm audit, snyk, ou OWASP Dependency-Check
• Tests de sécurité automatisés
• Mise en place de tests de sécurité avec des frameworks comme Mocha ou Chai
• Utilisation de scanners de sécurité pour API et web apps (ZAP, Burp Suite Community)

Liste des sessions