Przejdź do zawartości

OWASP

Z Wikipedii, wolnej encyklopedii
OWASP
Open Worldwide Application Security Project
Ilustracja
Logo OWASP
Państwo

Image Stany Zjednoczone

Data założenia

2001

Status

organizacja non-profit

Profil działalności

bezpieczeństwo aplikacji

Zasięg

świat

Położenie na mapie Stanów Zjednoczonych
Mapa konturowa Stanów Zjednoczonych, po prawej nieco u góry znajduje się punkt z opisem „OWASP”
39,7463430°N 75,5508357°W/39,746343 -75,550836
Image Multimedia w Wikimedia Commons
Strona internetowa

OWASP (Open Worldwide Application Security Project, do 2023 roku Open Web Application Security Project) – międzynarodowa społeczność i fundacja non-profit działająca na rzecz poprawy bezpieczeństwa oprogramowania, w szczególności aplikacji internetowych. Publikuje bezpłatne, otwarte materiały: standardy, poradniki, narzędzia i dokumentację, a jej najbardziej znanym opracowaniem jest ranking najpoważniejszych zagrożeń bezpieczeństwa aplikacji OWASP Top 10[1][2].

Historia

[edytuj | edytuj kod]

Projekt zainicjował we wrześniu 2001 roku Mark Curphey(inne języki)[3][4]; sam projekt wystartował 1 grudnia 2001 roku[1]. Wspierająca projekt fundacja OWASP Foundation została zarejestrowana 21 kwietnia 2004 roku w Stanach Zjednoczonych jako organizacja non-profit o statusie 501(c)(3)[1]. W Europie organizacja działa jako zarejestrowane w Belgii stowarzyszenie OWASP Europe VZW[5]. W początkowych latach pracom społeczności przewodniczył Jeff Williams[6][7].

W lutym 2023 roku zarząd fundacji zmienił rozwinięcie nazwy z Open Web Application Security Project na Open Worldwide Application Security Project, zachowując akronim OWASP[8]. W maju 2023 roku uruchomiono projekt OWASP Top 10 for LLM Application Security Project, dokumentujący najpoważniejsze ryzyka związane z dużymi modelami językowymi; obecnie działa on pod nazwą OWASP Gen AI Security Project[9].

OWASP Top 10

[edytuj | edytuj kod]

Najbardziej rozpoznawalną publikacją organizacji jest OWASP Top 10 – aktualizowany co kilka lat przegląd dziesięciu najpoważniejszych klas ryzyk bezpieczeństwa aplikacji internetowych, oparty na danych z badań rzeczywistych aplikacji oraz ankietach branżowych. Pierwszą edycję opublikowano w 2003 roku, kolejne w latach 2004, 2007, 2010, 2013, 2017 i 2021; ósma edycja, OWASP Top 10:2025, została zaprezentowana w listopadzie 2025 roku na konferencji OWASP Global AppSec w Waszyngtonie i formalnie opublikowana na początku 2026 roku[2][10][11].

Edycja 2025 obejmuje następujące kategorie ryzyk[12]:

  1. błędy kontroli dostępu (Broken Access Control),
  2. błędna konfiguracja zabezpieczeń (Security Misconfiguration),
  3. awarie łańcucha dostaw oprogramowania (Software Supply Chain Failures),
  4. błędy kryptograficzne (Cryptographic Failures),
  5. wstrzykiwanie (Injection, m.in. SQL injection i cross-site scripting),
  6. niebezpieczny projekt (Insecure Design),
  7. błędy uwierzytelniania (Authentication Failures),
  8. naruszenia integralności oprogramowania lub danych (Software or Data Integrity Failures),
  9. błędy rejestrowania zdarzeń i alarmowania (Security Logging and Alerting Failures),
  10. niewłaściwa obsługa sytuacji wyjątkowych (Mishandling of Exceptional Conditions).

Lista pomyślana jest jako dokument budujący świadomość zagrożeń i punkt wyjścia do zmiany kultury wytwarzania oprogramowania, a nie wyczerpujący katalog podatności[2]. Do OWASP Top 10 odwołują się liczne standardy i instytucje, m.in. standard bezpieczeństwa kart płatniczych PCI DSS[13].

Pozostałe projekty

[edytuj | edytuj kod]

Prace organizacji podzielone są na kilkaset otwartych projektów o różnym stopniu dojrzałości; kilkanaście najdojrzalszych ma status projektów flagowych (flagship projects)[14]. Należą do nich m.in.[14]:

  • Application Security Verification Standard (ASVS) – standard wymagań bezpieczeństwa dla aplikacji i ich weryfikacji,
  • Web Security Testing Guide (WSTG) – przewodnik po testowaniu bezpieczeństwa aplikacji internetowych, wykorzystywany m.in. w testach penetracyjnych,
  • Software Assurance Maturity Model (SAMM) – model oceny dojrzałości procesów bezpiecznego wytwarzania oprogramowania,
  • Cheat Sheet Series – zbiór zwięzłych zestawień dobrych praktyk bezpiecznego programowania,
  • Juice Shop – celowo podatna aplikacja do nauki i demonstracji ataków,
  • Dependency-Check i Dependency-Track – narzędzia do wykrywania znanych podatności w zależnościach oprogramowania,
  • CycloneDX – standard opisu komponentów oprogramowania (software bill of materials),
  • ModSecurity Core Rule Set (CRS) – zestaw reguł filtrowania dla zapór aplikacyjnych.

Jednym z najpopularniejszych narzędzi rozwijanych przez lata pod egidą OWASP był skaner bezpieczeństwa ZAP (Zed Attack Proxy), który powstał w 2010 roku i wkrótce potem został przyjęty jako projekt OWASP. W 2023 roku jego twórcy przenieśli projekt do Linux Foundation (inicjatywa Software Security Project), a we wrześniu 2024 roku dołączyli do firmy Checkmarx, która została głównym sponsorem narzędzia[15][16].

Struktura i działalność

[edytuj | edytuj kod]

Fundacja OWASP koordynuje pracę wolontariuszy skupionych w ponad 250 lokalnych oddziałach (chapters) na całym świecie i organizuje konferencje z serii Global AppSec[1]. Polski oddział powstał w czerwcu 2007 roku, a jego założycielami byli Andrzej Targosz i Robert Pająk; spotkania organizowane są m.in. w Warszawie, Krakowie, Poznaniu, Wrocławiu, na Śląsku i w Trójmieście[17]. W 2014 roku organizacja otrzymała wyróżnienie „Editor's Choice” magazynu branżowego „SC Magazine”[18].

Zobacz też

[edytuj | edytuj kod]

Przypisy

[edytuj | edytuj kod]
  1. 1 2 3 4 About the OWASP Foundation. OWASP Foundation. [dostęp 2026-09-19]. (ang.).
  2. 1 2 3 OWASP Top Ten Web Application Security Risks. OWASP Foundation. [dostęp 2026-09-19]. (ang.).
  3. ↑ Sverre Huseby: Innocent Code: A Security Wake-Up Call for Web Programmers. Wiley, 2004, s. 203. ISBN 0-470-85744-7.
  4. ↑ Mark Curphey. OWASP Foundation. [dostęp 2026-09-19]. (ang.).
  5. ↑ Europe. OWASP. [dostęp 2026-09-19]. (ang.).
  6. ↑ David Strom, Here are OWASP's top 10 vulnerabilities in 2021 [online], blog.avast.com, 28 września 2021 [dostęp 2026-09-20] (ang.).
  7. ↑ OWASP Foundation: OWASP Testing Guide. owasp.github.io, 2008. s. 8. [dostęp 2026-09-20]. Cytat: Jeff Williams, OWASP Chair, December 15, 2006 (ang.).
  8. ↑ Bil Corry: A change you might notice about OWASP, the Board voted to change the "W" from "Web" to "Worldwide". Twitter, 2023-02-25. [dostęp 2026-08-21]. (ang.).
  9. ↑ Introduction, Project Background – OWASP Gen AI Security Project. OWASP GenAI Security Project. [dostęp 2026-09-19]. (ang.).
  10. ↑ Pojawiła się długo wyczekiwana aktualizacja listy OWASP Top Ten!. Sekurak, 2025-11-07. [dostęp 2026-08-21]. (pol.).
  11. ↑ Joanna Pasterczyk: OWASP TOP 10 – najczęstsze podatności aplikacji webowych. Just Join IT, 2026-07-24. [dostęp 2026-09-19]. (pol.).
  12. ↑ OWASP Top 10:2025. OWASP Foundation. [dostęp 2026-09-19]. (ang.).
  13. ↑ Payment Card Industry (PCI) Data Security Standard, v3.0. PCI Security Standards Council, 2013-11. s. 55. [dostęp 2026-08-21]. (ang.).
  14. 1 2 OWASP Projects. OWASP Foundation. [dostęp 2026-08-21]. (ang.).
  15. ↑ ZAP is Joining the Software Security Project. zaproxy.org, 2023-08-01. [dostęp 2026-09-19]. (ang.).
  16. ↑ ZAP has Joined Forces with Checkmarx. zaproxy.org, 2024-09-24. [dostęp 2026-09-19]. (ang.).
  17. ↑ OWASP Poland. OWASP Foundation. [dostęp 2026-09-19]. (pol.).
  18. ↑ SC Magazine Awards 2014. SC Magazine, 2014-02-25. [dostęp 2026-08-21]. (ang.).

Linki zewnętrzne

[edytuj | edytuj kod]
Źródło: „https://pl.wikipedia.org/w/index.php?title=OWASP&oldid=80781803”