Carlos Serrão

Poster do IBWAS’10

Carlos Serrao — Thu, 29 Jul 2010 21:11:32 +0000

Aqui fica igualmente uma versão em PDF.

OWASP IBWAS’10 Call for Training Proposals

Carlos Serrao — Wed, 28 Jul 2010 23:55:53 +0000

2nd. OWASP Ibero-American Web-Applications Security conference (IBWAS’10)
ISCTE – Lisbon University Institute
25th – 26th November 2010
Lisboa, Portugal
http://www.ibwas.com

**CALL FOR TRAINING SESSIONS**  

IBWAS and OWASP is currently soliciting training proposals for the OWASP Ibero-American Web Applications Security 2010 Conference (IBWAS’10) which will take place at ISCTE-IUL, Lisboa, Portugal, on November 24 through November 26, 2010.

There will be training courses on November 24 followed by plenary sessions on the 25 and 26 with multiple tracks per day.  

We are seeking training proposals on the following topics (in no particular order): 
- Application Threat Modeling 
- Business Risks with Application Security 
- Hands-on Source Code Review 
- Metrics for Application Security 
- OWASP Tools and Projects 
- Privacy Concerns with Applications and Data Storage 
- Secure Coding Practices (J2EE/.NET) 
- Starting and Managing Secure Development Lifecycle Programs 
- Technology specific presentations on security such as AJAX, XML, etc 
- Web Application Security countermeasures 
- Web Application Security Testing 
- Web Services, XML and Application Security 
- Anything else relating to OWASP and Application Security  

Proposals on topics not listed above but related to the conference (i.e. which are related to Application Security) may also be accepted. 

To make a submission you must fill out the form available at http://ibwas09.netmust.eu/files/ibwas10/OWASP_IBWAS_2010_CFT.rtf.zip and submit by email to secretariat@ibwas.com.

There may be 1 or half a day courses. The proposals must respect the restrictions of the OWASP Speaker Agreement. The conference will reward trainers with at least 30% of the total revenue of their courses, based on a minimum attendance. Courses that attract more students may be granted higher percentages. No other compensation (such as tickets or lodging) will be provided. If you require a different arrangement, please contact the conference chair at the email address below.

**Compensation**
Instructors and authors will be paid based on the number of students in their training sessions. If the training gathers only the minimum number of students, the compensation will be 30% of the revenue. For each group of 10 extra students enrolled, the compensation will be increased by 5% of the revenue, up to a maximum of 45% of the training revenue. For example, a 1-day training with 10 to 19 students will generate a compensation of 30% of the revenue. For classes of 20 to 29 students, the compensation raises to 35% percent of the revenue.

In exceptional cases, different compensation schemes may be accepted. Please contact the conference organization team by email (secretariat@ibwas.com) for details.

**Training cost**
half-day training: 250 EUR per student
1-day training: 450 EUR per student
All prices in Euros (EUR)

**Minimum number of students**
half-day trainings: 10 students
1-day trainings: 20 students
 
**Important Dates:** 
Submission deadline is September 20, 2010. 
Notification of acceptance will be October 8, 2010. 
Final version is due October 29, 2010.  

The conference organization team may be contacted by email at secretariat@ibwas.com  

For more information, please see the following web pages:
Conference Website: http://www.ibwas.com, http://www.owasp.org/index.php/IBWAS10
OWASP Speaker Agreement: http://www.owasp.org/index.php/Speaker_Agreement
OWASP Website: http://www.owasp.org
Easychair conference site: http://www.easychair.org/conferences/?conf=ibwas10
Presentation proposal form: http://ibwas09.netmust.eu/files/ibwas10/OWASP_IBWAS_2010_CFT.rtf.zip

********** WARNING: Submissions without all the information requested in the proposal form will not be considered ************

Please forward to all interested practitioners and colleagues.

Axe – shower girls

Carlos Serrao — Sat, 17 Jul 2010 19:43:14 +0000

Axe – shower girls

Carlos Serrao — Sat, 17 Jul 2010 19:41:54 +0000

Heineken Jennifer Aniston

Carlos Serrao — Sat, 17 Jul 2010 19:37:48 +0000

Arachni – nova ferramenta de detecção de vulnerabilidades de aplicações web

Carlos Serrao — Fri, 16 Jul 2010 15:46:05 +0000

Aqui fica mais uma ferramenta para detecção automática de vulnerabilidades em aplicações web, desenvolvida em Ruby. Esta ferramenta chama-se Arachni.

Está ainda numa fase de desenvolvimento muito intenso, mas pode ser mais uma ferramenta importante a juntar ao rol das existentes.

IBWAS’10 muda de data

Carlos Serrao — Thu, 15 Jul 2010 22:12:36 +0000

A 2ª Conferência Ibero-Americana em Segurança de Aplicações Web (IBero-american Web Application Security conference – IBWAS), alterou as suas datas de realização, devido ao facto de que o OWASP SUMMIT 2010, ter sido marcado para uma data que era coincidente com a IBWAS’10, impedindo assim que muitos dos membros da OWASP perdessem a oportunidade de estarem presentes em ambos os eventos.

Assim, optou-se por adiar a realização da conferência IBWAS’10 por duas semanas, sendo que as novas datas são dia 25 e 26 de Novembro.

Aproveito igualmente para informar que os prazos para a submissão de artigos foram igualmente estendidos.

Continuamos apostados em fazer da IBWAS’10 um excelente evento na área da segurança de informação.

Desenvolvimento Seguro com a Zend Framework

Carlos Serrao — Thu, 15 Jul 2010 22:04:23 +0000

Aqui fica um link para um webinar promovido pela Zend sobre um conjunto de boas práticas para o desenvolvimento em segurança usando a Zend Framework.

É necessário o registo no site da Zend, mas vale a pena.

OWASP Top 10 para programadores .Net

Carlos Serrao — Thu, 15 Jul 2010 14:50:35 +0000

O Bruno Morisson partilhou hoje na ML da InfoSec-Pros-PT um link muito interessante – um conjunto de artigos num blog de um tal de Troy Hunt, um arquitecto de software.

Nesta série de artigos, são abordados os diversos riscos identificados pelo OWASP Top 10, sendo explicados detalhadamente cada um deles, com exemplos, numa perspectiva de um programador de .Net.

Para já, já existem os seguintes artigos sobre três dos principais riscos:

Mais artigos sobre os restantes riscos OWASP devem seguir-se.

A Apple, o iPhone 4 e as antenas

Carlos Serrao — Thu, 15 Jul 2010 09:34:07 +0000

Muito se tem escrito sobre a Apple, sobre a forma como a mesma trata os seus clientes, sobre a qualidade e robustez dos seus produtos, sobre a excelência do seu design, sobre os seus avanços em termos de lançamento de produtos revolucionários que mostram a qualidade da engenharia da empresa.

Ultimamente, também muito se tem escrito sobre a Apple e em particular sobre o iPhone 4. Na maior parte das vezes, pelos piores motivos…

Antes de mais, quero dizer que sou um utilizador de Macbook Pro e do Mac OS X (embora use qualquer outro sistema operativo, Linux e Windows), que tenho um iPhone 3G, mas que não sou um “fanboy”. A prova disso, é que o meu próximo telemóvel (espero eu) será um Android.

Sobre o iPhone 4, parece-me que foi algo que a Apple nunca controlou muito bem, como aconteceu com o iPhone original. Desde o problema que teve com a perda de um protótipo de um iPhone 4 num bar, com toda aquela novela que existiu com o Gizmodo, e agora com todos estes problemas com a extrema atenuação do sinal da antena do iPhone 4, que o iPhone esteve com problemas para “viver”.

Agora, alguns factos curiosos, e que nos permitem deixar a pensar um pouco melhor sobre a situação, em particular depois da Consumer Reports ter dito que não recomendaria a compra de um iPhone 4 (apesar do considerarem como o melhor smartphone do mercado):

o problema de atenuação existe, acho que está mais do que provado, embora não seja igual em todo o lado, nem igual com todos os utilizadores;
qualquer telemóvel sobre atenuação de sinal, mas no iPhone 4 a atenuação é muito mais forte;
ao que parece, o problema resolve-se com uma capa em volta do iPhone 4;

Estes são os factos que estão de uma forma ou de outra provados. E a seguir um conjunto de conjecturas, em que algumas delas podem roçar a ficção:

a Apple não fez os testes adequados ao iPhone 4 em situações de utilização real. Todo o seu cuidado com o secretismo do lançamento do novo iPhone 4 (que apesar de tudo não foi suficiente), fez com que os seus engenheiros encarregues de testarem o iPhone 4 em situações reais, disfarçassem os mesmos com uma capa protectora (podem ver a imagem do protótipo do iPhone 4 que foi parar às mãos da Gizmodo, para verem ao que me refiro). Ao que sabemos hoje, com uma capa em volta das antenas externas, o efeito da atenuação é reduzido ao ponto de passar despercebido.
a Apple acabou por se aperceber do problema, mas talvez demasiado tarde no processo de desenvolvimento e produção para resolver os problemas de forma adequada. E isto explica o facto, estranho diga-se, de a Apple no momento em que está a lançar um produto novo, anuncie igualmente uma capa protectora para o mesmo (o Bumper) e que curiosamente só oferece protecção para cobrir as antenas externas do iPhone 4. Coincidência?!?!? Talvez não…

Em particular este último aspecto não deixa de ser curioso. Em tantos outros lançamentos de produtos da Apple, tão ou mais frágeis do que este, a Apple nunca tinha lançado nenhum produto extra para protecção (iPod, iPhone 2G/3G/3GS, Macbook Pro, Macbook Air, iPad). Então porque o fez agora? E porque será que esse Bumper permite resolver especificamente esse problema de atenuação de sinal?

Enfim, como disse, tudo pode não passar apenas de um conjunto de coincidências felizes/infelizes, e do que estou para aqui a dizer não passar de ficção. Mas que deixa qualquer um a pensar, isso deixa.

Bem, vamos lá a ver o que a Apple tem para dizer sobre isto na próxima sexta-feira.

Para mim, o meu próximo iPhone, será um Android.