Cursos de capacitación (o certificación) para seguridad PHP

Question

Comencé a leer un libro sobre seguridad PHP (pero en realidad es todo teórico, no tanto práctico) y tengo en mi plan leer los blogs de Chris Shiflett y Schenider, pero ¿alguien? ¿Conozco un curso formal al que puedo asistir o incluso puedo obtener un certificado que demuestre que sé cómo escribir un código PHP seguro?

---

Editar: tengo un montón de respuestas, algunas de las cuales no responden a mi pregunta. Así que cito el comentario de ircmaxell porque realmente llega al punto.

Aunque estoy de acuerdo con el CERT no importar (y que la búsqueda de vulnerabilidades es la mejor manera de aprender ), no estoy seguro de que responde a la pregunta . ¿Cómo se debe pasar de no saber nada acerca de la seguridad hasta el punto en que pueden hacer auditorías ser capaz de encontrar vulnerabilidades

Lo que quiero añadir es sin embargo que aunque estoy de acuerdo que la experiencia es más importante que certificación, la certificación no es poco importante. Es una prueba rápida de que sé más que el programador aficionado de la escuela secundaria de la India, que cobra $ 30 por un proyecto completo.

Answer 1

http://www.zend.com/services/certification/ es una buena opción.

Antes de tomar ese examen es posible que desee echar un vistazo a:

• httpOnly Cookies
• cross-site request forgeries
• OWASP development guide
• SQL injection
• rules for processing credit cards
• SSL/HTTPS
• cross site scripting (XSS)
• Cross-site request forgery
• The Google Browser Security Handbook
• The Web Application Hacker's Handbook

Answer 2

http://www.zend.com/services/certification/

Answer 3

Escribir código seguro se extiende por más que PHP: buen código, código apropiado es el lenguaje agnóstico. Si bien hay matices en cada idioma, hay un conjunto básico de principios para aprender que son transferibles sin importar lo que escriba. Lo mejor es aprender esos valores centrales y luego aprender sobre los detalles del lenguaje. El conocimiento básico de la criptografía, el buen diseño de la base de datos, la administración adecuada de la memoria y los principios del sistema operativo le brindarán más información sobre la seguridad que el simple hecho de estar certificado en seguridad PHP.

Cuando se llega al grano, la escritura de código de seguridad debe formar parte del conjunto de habilidades de cualquier programador.

Answer 4

Recomiendo encarecidamente el libro de Chris Shiflett. Creo que debería ser una lectura obligatoria para todos los desarrolladores web, no solo para los desarrolladores de PHP, ya que los principios, los ataques y las defensas descritos se aplican a todos los idiomas web. También es una lectura rápida, pero le daría una base sólida en la seguridad de la aplicación web en mi humilde opinión, negando la necesidad de un curso. El capítulo sobre seguridad en la guía de estudio de Zend Certified Engineer también es bueno, pero cubre el mismo terreno que el libro de Shiflett.

Answer 5

Estaba el OWASP Certification Project, pero por lo que puedo decir ya no está activo (aunque parte del contenido vinculado todavía parece estar activo).

Si bien no es específico de PHP, también está el GIAC Certification. Está dirigido a la seguridad general en oposición a las técnicas específicas del lenguaje (de lo que puedo deducir de todos modos) ...

También está el Software Security Institute ... No tengo ningún fondo con ellos, así que no puedo responder, pero parece tener lo que estás viendo

Editar: Después de reflexionar:

Honestamente, no veo el punto de certificados. Si quieres asistir a la capacitación, ¡genial! Pero todo lo que hace un certificado es probar que fue capaz de pasar una prueba. No dice nada sobre lo que sabes o tus capacidades ...Obtenga experiencia en el mundo real, vale más que cualquier certificado cualquier día de la semana. Involúcrese con proyectos de código abierto (especialmente desde el frente de seguridad, mucho necesito ayuda allí en mi experiencia). Participe con OWASP. Obtenga experiencia en el mundo real, asista a conferencias y grupos de usuarios para continuar aprendiendo. Valdrá 10 veces más que el certificado ...

Answer 6

Obtener un número CVE para un proyecto PHP. Si no puede encontrar vulnerabilidades en el código PHP es lo que importa, tener una certificación no significa nada.

Para entender cómo el código puede ser inseguro, sugiero instalar Damn Vulnerable WebApp. También debe considerar las vulnerabilidades del mundo real como las que se encuentran en The Whitebox. El blog y la tienda donde PHP/MySQL proyecta que fueron abandonados porque son muy inseguros. Los desafíos son los sistemas de seguridad difíciles que se encuentran en la naturaleza, sin embargo, también son muy inseguros. Para algunas lecturas ofensivas de seguridad de PHP sugiero A Study In Scarlet.