ASP.NET Core meets OWASP Top 10 2025 - Anders Abel - NDC Oslo 2026

Valeur des informations & solidité de l’argumentation

La valeur de cet exposé réside dans son approche pragmatique et orientée développeur. Anders Abel ne se contente pas de lister les vulnérabilités ; il montre concrètement comment les fonctionnalités d’ASP.NET Core (attributs d’autorisation, politiques, validation anti-CSRF, protection des données, etc.) permettent de les neutraliser. L’argumentation est solide, appuyée sur des exemples réels (comme l’incident CSRF avec le modem ADSL, la détection d’homoglyphes par Copilot) et sur une expérience de terrain indéniable. L’orateur met en garde contre les fausses solutions (comme la vérification manuelle des URL locales) et recommande d’utiliser les API du framework. Il insiste également sur la nécessité de comprendre les principes sous-jacents, comme la personnalisation des politiques d’autorisation ou la gestion des clés, plutôt que de s’appuyer uniquement sur les protections par défaut. Cette approche éducative est très précieuse pour les développeurs cherchant à renforcer la sécurité de leurs applications.

Rigueur scientifique, qualité des sources, adéquation du titre

La rigueur scientifique est basée sur l’expertise reconnue de l’orateur et sur les recommandations officielles de l’OWASP. Cependant, aucune source externe n’est citée en dehors du Top 10 lui-même ; les affirmations reposent sur l’expérience pratique et sur les fonctionnalités documentées d’ASP.NET Core. Le titre est en adéquation totale avec le contenu, et la structure de la présentation suit logiquement l’ordre du Top 10, ce qui facilite la compréhension. Aucun commentaire n’était disponible à analyser, donc aucune tendance publique n’a pu être extraite.

Le titre correspond parfaitement au contenu : l'orateur parcourt chaque catégorie du Top 10 OWASP 2025 et détaille comment ASP.NET Core fournit des protections intégrées ou des recommandations pour atténuer ces risques.

9/10

Exposé par un expert reconnu en sécurité des applications .NET, sans référence à des sources externes mais basé sur son expérience et les directives officielles OWASP. L'information est précise, pratique et ancrée dans les fonctionnalités réelles d'ASP.NET Core.

Repères établis par PSI à partir de la transcription : le créateur n'a pas défini de chapitres.

• 00:00Introduction par Anders Abel, présentation de son parcours et du sujet de la conférence.
• 02:00Présentation du Top 10 OWASP 2025 avec une liste complète des catégories, du numéro 10 au numéro 1.
• 06:00Discussion sur le contrôle d'accès brisé : exemples de références directes d'objets et solutions avec les politiques d'autorisation.
• 10:00Explication des politiques basées sur les exigences et les gestionnaires, avec l'exemple des dossiers médicaux.
• 13:00Mise en œuvre de la politique de ressource avec RequireAssertion et discussion sur la sécurisation par défaut.
• 16:00Présentation des redirections ouvertes et de l'utilisation de IsLocalUrl pour les éviter.
• 18:00Récit personnel sur la vulnérabilité CSRF d'un modem ADSL, illustrant le besoin de protection.
• 21:00Explications sur la validation anti-CSRF et les fonctionnalités intégrées d'ASP.NET Core, y compris le renforcement de .NET 11.
• 25:00Analyse de la mauvaise configuration de sécurité et des mesures de protection par défaut proposées par ASP.NET Core.
• 30:00Discussion sur les attaques de la chaîne d'approvisionnement, avec l'exemple de packages homoglyphes et l'importance de verrouiller les versions.
• 35:00Présentation des échecs cryptographiques et de l'API de protection des données pour simplifier le chiffrement.
• 40:00Court passage sur les autres catégories du Top 10 (injection, conception non sécurisée, authentification, etc.) et leurs implications pour les développeurs .NET.
• 45:00Résumé des points clés et conclusion, avec des conseils pratiques pour sécuriser les applications ASP.NET Core.

• NDC Conferences — Site officiel de la conférence où la vidéo a été enregistrée.
• NDC Oslo — Page de la conférence NDC Oslo.