Într-o eră dominată de atacuri cibernetice automatizate, breșe de date masive și reglementări stricte de conformitate (GDPR, NIS2, EU AI Act), securitatea nu mai este o etapă finală opțională, ci o disciplină fundamentală integrată în fiecare linie de cod și fiecare container de producție (paradigma DevSecOps).
Această secțiune oferă o abordare pragmatică și tehnică a securității cibernetice: de la identificarea și exploatarea etică a celor mai periculoase vulnerabilități web documentate în OWASP Top 10 (SQL Injection, XSS, SSRF, Broken Authentication), până la aplicarea corectă a criptografiei moderne, securizarea token-urilor JWT / OAuth 2.0 și consolidarea (hardening) sistemelor Linux și a imaginilor de containere Docker.
Modelul de Apărare în Adâncime (Defense in Depth)
# Nivelul 1: Perimetru de Rețea
# ├── DDoS Protection (Cloudflare / AWS Shield)
# └── Web Application Firewall (WAF) - Filtrează exploit-urile SQLi/XSS comune
#
# Nivelul 2: Comunicații și Transport
# └── TLS 1.3 obligatoriu cu HSTS (Criptare pe fir, prevenire Man-In-The-Middle)
#
# Nivelul 3: Aplicație & API
# ├── Validare strictă a intrărilor cu scheme (Zod, Pydantic)
# └── Autentificare JWT asimetrică (RS256) cu verificarea autorizării la nivel de resursă
#
# Nivelul 4: Bază de Date & Stocare
# ├── Interogări exclusiv parametrizate (Zero SQL Injection)
# └── Criptare în repaus (AES-256) și hashing de parole cu algoritmi lenți (Argon2id)
#
# Nivelul 5: Sistem & Containere
# └── Imagini Distroless fără shell, rulare ca utilizator non-root, read-only rootfs!Pilonii Tehnologici ai Securității în Dezvoltare Software
| Domeniu de Securitate | Vulnerabilitate / Risc Major | Mecanism de Protecție Obligatoriu |
|---|---|---|
| OWASP Injection | SQL Injection, Command Injection (comenzi arbitrare pe server). | Interogări parametrizate (Prepared Statements) și eliminarea apelurilor de tip eval() / exec(). |
| Gestiunea Identității | Parole compromise, token-uri furate, forțare brută (Brute-force). | Hashing cu Argon2id / bcrypt, Multi-Factor Authentication (MFA) și Rate Limiting strict. |
| Cross-Site Scripting (XSS) | Injectarea de scripturi JavaScript malițioase în browserele vizitatorilor. | Escaparea automată a conținutului în template-uri și configurarea antetului Content Security Policy (CSP). |
| Securitate Containere | Evadare din container către sistemul gazdă prin drepturi de root. | Rulare sub utilizator neprivilegiat (USER nonroot) și eliminarea Linux Capabilities (--cap-drop=ALL). |
Antipattern Vulnerabil vs Cod Securizat împotriva SQL Injection
// ❌ COD EXTREM DE VULNERABIL (Concatenare directă de string-uri):
// Atacatorul poate trimite: "' OR '1'='1" și preia întreaga bază de date!
String query = "SELECT * FROM users WHERE email = '" + userInput + "'";
// CORECT: Utilizarea Interogărilor Parametrizate (Prepared Statements):
// Datele de intrare sunt tratate STRICT ca valori literale, NICIODATĂ ca instrucțiuni SQL!
PreparedStatement stmt = connection.prepareStatement("SELECT * FROM users WHERE email = ?");
stmt.setString(1, userInput);
ResultSet results = stmt.executeQuery();