O documento descreve o jogo Cornucópia, um jogo de cartas para facilitar a codificação segura em times de desenvolvimento de software. O jogo é baseado em padrões de segurança como OWASP e ajuda a identificar requisitos de segurança e gerar um backlog para o time. O documento explica as regras, cartas e objetivo do jogo de promover a disseminação do conhecimento de segurança no time de desenvolvimento.

1. Cornucópia – um agile
game para facilitar a
codificação segura
Wagner Mendes Voltz - Fusca

10. http://www.devsecops.org/

11. https://www.owasp.org

13. O que é?
● Um game em forma de
cartas
● Para times de
desenvolvimento de
software
● É independente de
linguagem, plataforma e
tecnologia
● É gratuito

14. O que é?
● Baseado no:
○ SAFECode
○ Elevation of Privilege (EoP) Card Game – Microsoft
Security Development Lifecycle (SDL)
○ CAPEC - Commom Attack Pattern Enumeration and
Classification
○ OWASP AppSensor, OWASP ASVS, OWASP SCP

15. O que NÃO é?
● Só para desenvolvedores
● Só da MATERA
● Somente para novos softwares
● Não é poker
● Não é truco
● Não é demorado

16. O que faz?
● Ajuda a identificar requisitos de segurança
● Gera um backlog baseado em segurança para o time de
desenvolvimento
● Disseminar o conhecimento de segurança da informação
no time

17. O que NÃO faz?
● Não identifica como solucionar os bugs potenciais de
segurança
● Não dá uma ordem de prioridade para os bugs potenciais

19. Naipes e cartas
● Valores das cartas
○ Do ÀS até o K (rei)
● Naipes
○ Validação de dados de entrada e codificação de dados de
saída
○ Autenticação e gerenciamento de credenciais
○ Gerenciamento de sessões
○ Controle de acessos
○ Práticas de criptografia

20. Defina um contexto
● Escolha avaliar todo o software ou uma funcionalidade
específica
● 3 a 6 pessoas, além do facilitador

22. REGRAS 1 - o ínicio

23. REGRAS 2 - PONTUAÇÃO
E DESCARTE

25. Separem o naipe
Autenticação e
gerenciamento de
credenciais

26. ● http://meusite.com/login.jsf
● Administrador do sistema: admin /
admin
● Perfis do sistema: admin,
operacional, estratégico
● As mudanças de perfis de um
usuário só ocorrem mediante nova
autenticação via tela inicial
● Várias pessoas com a senha admin,
não sabendo quem acessa e em
determinado local
● Opção “remember me” armazena
dados em localStorage do
navegador

27. Pontuação - Autenticação e
gerenciamento de credenciais
Cartas que pontuam:
● 2
● 3
● 4
● 5
● 6
● 7
● 9
Cartas que não
pontuam:
● 8
● J
● Q
● K
Cartas ponto de
atenção:
● 10

28. Adicionando +1 naipe
Gerenciamento de
sessões

29. ● Após autenticação, é criado um
token de de forma manual. Este
mistura o nome do usuário + data
que o login foi efetuado.
● Este é armazenado no cache para
que o usuário não precise logar
novamente caso não feche o
navegador
● Em todas as telas existe uma
validação para garantir que
somente usuários logados estão
acessando o sistema
● Caso o usuário tente acessar o
sistema da mesma máquina, não
será necessário novo login. Mas de
outro aparelho, será necessário

30. Cartas que pontuam:
● 2
● 3
● 4
● 5
● 6
● 7
● 9
Cartas que não
pontuam:
● 8
● J
● Q
● K
Cartas ponto de
atenção:
● 10
Pontuação - Autenticação e
gerenciamento de credenciais

31. Cartas que pontuam:
● K
● J
● 10
● 9
● 8
● 7
● 6
● 5
● 3
Cartas que não
pontuam:
● Q
● 4
● 2
Cartas ponto de
atenção:
●
Pontuação - Gerenciamento de
sessões

32. Lições aprendidas
● Comece simples
● Rodar o game uma
única vez pode não ser
tão produtivo

33. Lições aprendidas
● Importante ter um especialista jogando, além do facilitador
● Criamos um help extra por causa da descrição das cartas às
vezes não serem tão claras

34. Lições aprendidas
● O trabalho do facilitador exige bastante atenção para
descrever bem a vulnerabilidade e marcar a pontuação
● Cuidado com o tempo de discussão de cada carta. Use um
cronômetro.
● A planilha sugerida pela OWASP não é boa.

37. https://github.com/ecastilho1910/cornucopiagame

38. Lições aprendidas
● É possível fazer o game
com times remotos.
● Envolver testers geram
muitos resultados
positivos.

39. Lições aprendidas
● Ter gestor ou cliente participando pode gerar certos
desconfortos aos participantes (mas é possível jogar com
eles)
● Ter uma premiação aguça a estratégia do jogo
● Anote os pontos de atenção
● As vulnerabilidades detectadas demoram para entrar em
desenvolvimento no backlog

40. Medir é importante!
OWASP Application Security Verification Standard Project (ASVS) -
http://bit.ly/owaspasvs

41. OWASP
Cornucopia
https://www.owasp.org/index.php/OWASP_Corn
ucopia
https://github.com/wagnerfusca/OWASP-Corn
ucopia-Translate-Cards---PT
Cartas
traduzidas

42. Dúvidas?
tiofusca
wagnerfusca
@wagnerfusca
wagnerfusca@gmail ou wagner.voltz@matera.com
@tiofusca

43. WWW.MATERA.COM