OWASP

OWASP
Open Worldwide Application Security Project
Ilustracja
Logo OWASP
Państwo

 Stany Zjednoczone

Data założenia

2001

Status

organizacja non-profit

Profil działalności

bezpieczeństwo aplikacji

Zasięg

świat

Położenie na mapie Stanów Zjednoczonych
Mapa konturowa Stanów Zjednoczonych, po prawej nieco u góry znajduje się punkt z opisem „OWASP”
39,7463430°N 75,5508357°W/39,746343 -75,550836
Multimedia w Wikimedia Commons
Strona internetowa

OWASP (Open Worldwide Application Security Project, do 2023 roku Open Web Application Security Project) – międzynarodowa społeczność i fundacja non-profit działająca na rzecz poprawy bezpieczeństwa oprogramowania, w szczególności aplikacji internetowych. Publikuje bezpłatne, otwarte materiały: standardy, poradniki, narzędzia i dokumentację, a jej najbardziej znanym opracowaniem jest ranking najpoważniejszych zagrożeń bezpieczeństwa aplikacji OWASP Top 10[1][2].

Historia

Projekt zainicjował we wrześniu 2001 roku brytyjski specjalista bezpieczeństwa Mark Curphey; strona przedsięwzięcia wystartowała 1 grudnia 2001 roku[3][1]. Wspierająca projekt fundacja OWASP Foundation została zarejestrowana 21 kwietnia 2004 roku w Stanach Zjednoczonych jako organizacja non-profit o statusie 501(c)(3), a od 2011 roku organizacja działa także w Europie jako belgijskie stowarzyszenie OWASP Europe VZW[1][4]. W latach 2003–2011 pracom społeczności przewodniczył Jeff Williams[3].

W lutym 2023 roku zarząd fundacji zmienił rozwinięcie nazwy z Open Web Application Security Project na Open Worldwide Application Security Project – zachowując akronim OWASP – aby odzwierciedlić zakres działalności wykraczający poza aplikacje internetowe, m.in. o oprogramowanie systemowe i internet rzeczy[5][1]. W maju 2023 roku uruchomiono projekt OWASP GenAI Security Project, dokumentujący najpoważniejsze ryzyka związane z dużymi modelami językowymi, w tym osobną listę Top 10 dla aplikacji opartych na LLM[6].

OWASP Top 10

Najbardziej rozpoznawalną publikacją organizacji jest OWASP Top 10 – aktualizowany co kilka lat przegląd dziesięciu najpoważniejszych klas ryzyk bezpieczeństwa aplikacji internetowych, oparty na danych z badań rzeczywistych aplikacji oraz ankietach branżowych. Pierwszą edycję opublikowano w 2003 roku, kolejne w latach 2004, 2007, 2010, 2013, 2017 i 2021; ósma edycja, OWASP Top 10:2025, została zaprezentowana w listopadzie 2025 roku na konferencji OWASP Global AppSec w Waszyngtonie i formalnie opublikowana na początku 2026 roku[2][7][8].

Edycja 2025 obejmuje następujące kategorie ryzyk[9]:

  1. błędy kontroli dostępu (Broken Access Control),
  2. błędna konfiguracja zabezpieczeń (Security Misconfiguration),
  3. awarie łańcucha dostaw oprogramowania (Software Supply Chain Failures),
  4. błędy kryptograficzne (Cryptographic Failures),
  5. wstrzykiwanie (Injection, m.in. SQL injection i cross-site scripting),
  6. niebezpieczny projekt (Insecure Design),
  7. błędy uwierzytelniania (Authentication Failures),
  8. naruszenia integralności oprogramowania lub danych (Software or Data Integrity Failures),
  9. błędy rejestrowania zdarzeń i alarmowania (Security Logging and Alerting Failures),
  10. niewłaściwa obsługa sytuacji wyjątkowych (Mishandling of Exceptional Conditions).

Lista pomyślana jest jako dokument budujący świadomość zagrożeń i punkt wyjścia do zmiany kultury wytwarzania oprogramowania, a nie wyczerpujący katalog podatności[2]. Do OWASP Top 10 odwołują się liczne standardy i instytucje, m.in. standard bezpieczeństwa kart płatniczych PCI DSS[10].

Pozostałe projekty

Prace organizacji podzielone są na kilkaset otwartych projektów o różnym stopniu dojrzałości; kilkanaście najdojrzalszych ma status projektów flagowych (flagship projects)[11]. Należą do nich m.in.[11]:

  • Application Security Verification Standard (ASVS) – standard wymagań bezpieczeństwa dla aplikacji i ich weryfikacji,
  • Web Security Testing Guide (WSTG) – przewodnik po testowaniu bezpieczeństwa aplikacji internetowych, wykorzystywany m.in. w testach penetracyjnych,
  • Software Assurance Maturity Model (SAMM) – model oceny dojrzałości procesów bezpiecznego wytwarzania oprogramowania,
  • Cheat Sheet Series – zbiór zwięzłych zestawień dobrych praktyk bezpiecznego programowania,
  • Juice Shop – celowo podatna aplikacja do nauki i demonstracji ataków,
  • Dependency-Check i Dependency-Track – narzędzia do wykrywania znanych podatności w zależnościach oprogramowania,
  • CycloneDX – standard opisu komponentów oprogramowania (software bill of materials),
  • ModSecurity Core Rule Set (CRS) – zestaw reguł filtrowania dla zapór aplikacyjnych.

Jednym z najpopularniejszych narzędzi rozwijanych przez lata pod egidą OWASP był skaner bezpieczeństwa ZAP (Zed Attack Proxy), projekt organizacji od 2010 roku. W 2023 roku jego twórcy przenieśli projekt do Linux Foundation (inicjatywa Software Security Project), a we wrześniu 2024 roku dołączyli do firmy Checkmarx, która została głównym sponsorem narzędzia[12][13].

Struktura i działalność

Fundacja OWASP koordynuje pracę wolontariuszy skupionych w ponad 250 lokalnych oddziałach (chapters) na całym świecie i organizuje konferencje z serii Global AppSec[1]. Polski oddział powstał w czerwcu 2007 roku, a jego założycielami byli Andrzej Targosz i Robert Pająk; spotkania organizowane są m.in. w Warszawie, Krakowie, Poznaniu, Wrocławiu, na Śląsku i w Trójmieście[14]. W 2014 roku organizacja otrzymała wyróżnienie „Editor's Choice” magazynu branżowego „SC Magazine”[15].

Zobacz też

Przypisy

  1. ↑ a b c d e About the OWASP Foundation. OWASP Foundation. [dostęp 2026-08-21]. (ang.).
  2. ↑ a b c OWASP Top Ten Web Application Security Risks. OWASP Foundation. [dostęp 2026-08-21]. (ang.).
  3. ↑ a b Sverre Huseby: Innocent Code: A Security Wake-Up Call for Web Programmers. Wiley, 2004, s. 203. ISBN 0-470-85744-7.
  4. ↑ OWASP Europe. OWASP. [dostęp 2026-08-21]. (ang.).
  5. ↑ Bil Corry: A change you might notice about OWASP, the Board voted to change the "W" from "Web" to "Worldwide". Twitter, 2023-02-25. [dostęp 2026-08-21]. (ang.).
  6. ↑ Introduction, Project Background – OWASP Gen AI Security Project. OWASP GenAI Security Project. [dostęp 2026-08-21]. (ang.).
  7. ↑ Pojawiła się długo wyczekiwana aktualizacja listy OWASP Top Ten!. Sekurak, 2025-11. [dostęp 2026-08-21]. (pol.).
  8. ↑ OWASP TOP 10 – najczęstsze podatności aplikacji webowych. Just Join IT, 2026. [dostęp 2026-08-21]. (pol.).
  9. ↑ OWASP Top 10:2025. OWASP Foundation. [dostęp 2026-08-21]. (ang.).
  10. ↑ Payment Card Industry (PCI) Data Security Standard, v3.0. PCI Security Standards Council, 2013-11. s. 55. [dostęp 2026-08-21]. (ang.).
  11. ↑ a b OWASP Projects. OWASP Foundation. [dostęp 2026-08-21]. (ang.).
  12. ↑ ZAP is Joining the Software Security Project. zaproxy.org, 2023-08-01. [dostęp 2026-08-21]. (ang.).
  13. ↑ ZAP has Joined Forces with Checkmarx. zaproxy.org, 2024-09-24. [dostęp 2026-08-21]. (ang.).
  14. ↑ OWASP Poland. OWASP Foundation. [dostęp 2026-08-21]. (pol.).
  15. ↑ SC Magazine Awards 2014. SC Magazine, 2014-02-25. [dostęp 2026-08-21]. (ang.).

Linki zewnętrzne

Content Disclaimer

Informasi ini disarikan dari Wikipedia dan disajikan kembali untuk tujuan edukasi. Konten tersedia di bawah lisensi CC BY-SA 3.0. Kami tidak bertanggung jawab atas ketidakakuratan data yang bersumber dari kontribusi publik tersebut.

  1. The information displayed on this website is sourced in part or in whole from Wikipedia and has been adapted for the purpose of restating it. We strive to provide accurate and relevant information, however:
  2. There is no guarantee of absolute accuracy. Wikipedia is an open, collaborative project that can be edited by anyone, so information is subject to change.
  3. It is not intended to constitute professional advice. The content displayed is for informational and educational purposes only. For important decisions (e.g., medical, legal, or financial), please consult a professional.
  4. Content copyright. Wikipedia is licensed under the Creative Commons Attribution-ShareAlike License (CC BY-SA). This means that content may be reused with appropriate attribution and shared under a similar license.
  5. Responsible use. Any risk arising from the use of information from this website is entirely the responsibility of the user.