awesome java security

Uma lista com curadoria de recursos incríveis relacionados à segurança Java.

Lista inspirada na coisa incrível da lista.

Apoiado por: guardrails.io

Conteúdo

• Ferramentas
• Educacional
• Outro

Ferramentas

Web Framework Hardening

• Apache Shiro-Uma estrutura de segurança Java poderosa e fácil de usar que executa autenticação, autorização, criptografia e gerenciamento de sessões.
• JJWT - Java JWT: JSON Web Token para Java e Android.
• OWASP ESAPI Java - A API de segurança corporativa é uma biblioteca de controle de segurança de aplicativos de código aberto gratuito, que facilita para os programadores escrever aplicativos de menor risco.
• PAC4J - MOTOR DE SEGURANÇA PARA Java para autenticar usuários, obter seus perfis e gerenciar autorizações para proteger aplicativos e serviços da Web.
• Segurança da primavera - Uma estrutura de autenticação e controle de acesso poderosa e altamente personalizável.
• Spring Security OAuth - Suporte para adicionar recursos OAuth1 (a) e OAuth2 (consumidor e provedor) para aplicativos da Web da primavera.

Multi Ferramentas

• HAWKEYE - Ferramenta de verificação de segurança/vulnerabilidade/riscos multiuso que suporta Ruby, Node.js, Python, PHP e Java.
• Guardrails - Um aplicativo GitHub que fornece feedback instantâneo de segurança em suas solicitações de tração.

Análise de código estático

• SpotBugs - Spotbugs é o sucessor do FindBugs. Uma ferramenta para análise estática para procurar bugs no código Java.
• Encontre bugs de segurança - o plug -in Spotbugs para auditorias de segurança de aplicativos da Web Java e aplicativos Android.
• Detectar segredos - Uma maneira amigável da empresa de detectar e prevenir segredos no código.
• Gitrob - Gitrob é uma ferramenta para ajudar a encontrar arquivos potencialmente sensíveis empurrados para os repositórios públicos no Github.
• Sonarqube - Sonarqube fornece a capacidade de mostrar a saúde de um aplicativo e destacar problemas recém -introduzidos.
• Oversercused - um analisador estático para aplicativos Android (arquivos APK), procura vulnerabilidades de segurança. Contém mais de 90 categorias de vulnerabilidade.
• Portador - Um analisador de segurança de código estático para descobrir, filtrar e priorizar riscos de segurança e privacidade.

Análise de tempo de execução

• Código Pulse - O Código Pulse é uma ferramenta de cobertura de código em tempo real para atividades de teste de penetração.
• OWASP ZAP - ajuda a encontrar automaticamente vulnerabilidades de segurança em seus aplicativos da Web.
• Contrast Community Edition - Ferramenta de proteção e detecção de vulnerabilidade gratuita de tempo de execução, identificando problemas na execução de aplicativos.

Vulnerabilidades e avisos de segurança

• O OWASP CHECK - Detecta publicamente divulgou vulnerabilidades em dependências de aplicativos.
• SNYK-CLI e ferramenta de tempo de construção para encontrar e consertar vulnerabilidades conhecidas em dependências de código aberto.
• SNYK Vulnerabilidade DB - Listagem comercial, mas gratuita de vulnerabilidades conhecidas em bibliotecas.
• Vulnerabilidades e exposições comuns - vulnerabilidades que receberam um CVE. Cobre o idioma e os pacotes.
• Banco de Dados de Vulnerabilidade Nacional - Java vulnerabilidades conhecidas no banco de dados nacional de vulnerabilidades.
• Contraste da Comunidade Edição - Ferramenta gratuita para localizar CVEs e dependências desatualizadas em bibliotecas.

Criptografia

• Castelo saltitante - Implementação de Java de algoritmos criptográficos.
• Conscrypt - provedor de segurança Java que implementa partes da extensão de criptografia Java e extensão de soquete Java Secure.
• Criptomator-criptografia transparente de várias plataformas de seus arquivos na nuvem.
• Keyczar-kit de ferramentas de criptografia fácil de usar pelo Google.
• Keywhiz - sistema para distribuição e gerenciamento de segredos.
• TINK-Biblioteca de plataforma cruzada e multi-idioma que fornece APIs criptográficas seguras, fáceis de usar corretamente e duras (er) para usar mal.
• ACME4J - Java Acme Client para emitir certificados X.509 usando Let's Encrypt ou outro ca.

Educacional

Hacking Playground

• Bodgeit Store - Um aplicativo da Web vulnerável destinado a pessoas que são novas nos testes de caneta.
• OWASP Benchmark - Uma suíte de teste Java projetada para verificar a velocidade e a precisão das ferramentas de detecção de vulnerabilidades.
• Shepherd de segurança - Plataforma de treinamento de segurança de aplicativos móveis e web.
• WebGoat - um aplicativo Java Web deliberadamente inseguro.

Artigos, guias e palestras

• Plataforma Java, Guia do desenvolvedor de segurança da edição Standard - Este guia abrange os principais componentes de segurança da edição Standard Edition: arquitetura de criptografia Java (JCA), Java Authentication and Authorization Service (JAAS) e Java Secure Socket Extensions (JSSE)
• Padrão de verificação de segurança do aplicativo - (PDF) O padrão é uma lista de requisitos de segurança de aplicativos que podem ser usados ​​pelos desenvolvedores.
• Spring Security CSRF - Um guia para a proteção do CSRF em segurança da primavera.
• Diretrizes de codificação segura - Diretrizes de codificação segura para Java SE
• Proteger um aplicativo da Web - este guia o leva ao processo de criação de um aplicativo da Web simples com recursos protegidos pela segurança da primavera.
• Guias de segurança da primavera - guias passo a passo sobre como usar a segurança da primavera.
• Evite ataques de script entre sites (XSS) - Este artigo explica como os ataques do XSS funcionam e sugere uma metodologia para bloquear ataques XSS.
• Java Security Resource Center - Uma coleção de detalhes de segurança para diferentes usuários da plataforma Java.

Práticas

• Criptografar com SSL/TLS passo a passo guia para criptografar a comunicação do cliente e do servidor

Especificações

• JSR 115: Contrato de autorização Java para contêineres
• JSR 196: Interface do provedor de serviços de autenticação Java para contêineres
• JSR 375: Java EE Security API

Outro

Relatórios de bugs

• Relatórios de segurança Java

Contribuindo

Encontrou um projeto, pacote, artigo ou outro tipo de recursos relacionados à segurança Java? Abra um pedido de tração! Basta seguir as diretrizes. Obrigado!

Licença