Desenvolvimento seguro em sistemas críticos: análise e implementação das diretrizes OWASP Top 10

Abstract

A crescente exposição de aplicações web a ameaças sofisticadas evidencia a necessidade de práticas consolidadas de desenvolvimento seguro, sobretudo em sistemas que manipulam ativos críticos. Este trabalho analisa a implementação de práticas de segurança em um sistema de gestão de certificados de VPN individuais — o VPN Certificate Manager —, utilizando como framework de avaliação as diretrizes do OWASP Top 10 (2025). A pesquisa caracteriza-se como aplicada e de natureza qualitativa, articulando revisão bibliográfica de fontes consagradas (OWASP, NIST e RFC 5280) com análise documental do código-fonte, da arquitetura e das configurações do projeto. Quatro categorias de risco foram selecionadas por sua aderência ao escopo: Broken Access Control (A01), Cryptographic Failures (A04), Injection (A05) e Authentication Failures (A07). Para cada categoria, foram contextualizados ataques e vulnerabilidades associadas, métodos de prevenção recomendados, controles efetivamente implementados na aplicação e lacunas identificadas. Os resultados evidenciam que diretrizes consolidadas, quando incorporadas desde o início do ciclo de desenvolvimento, mitigam classes inteiras de vulnerabilidades e reduzem o débito de segurança, ainda que sua adoção tardia ou parcial sustente riscos não triviais. Conclui-se que a aplicação sistemática do OWASP Top 10 constitui instrumento eficaz para qualificar o projeto de software seguro, com contribuição prática para a engenharia de sistemas críticos e teórica para a literatura sobre desenvolvimento seguro.

The growing exposure of web applications to sophisticated threats underscores the need for consolidated secure development practices, especially in systems that handle critical assets. This work analyzes the implementation of security practices in a system that manages individual VPN certificates — the VPN Certificate Manager — using the OWASP Top 10 (2025) guidelines as the evaluation framework. The research is applied and qualitative in nature, combining a bibliographic review of well-established sources (OWASP, NIST and RFC 5280) with a documentary analysis of the project’s source code, architecture and configurations. Four risk categories were selected for their alignment with the scope: Broken Access Control (A01), Cryptographic Failures (A04), Injection (A05) and Authentication Failures (A07). For each category, the work contextualizes associated attacks and vulnerabilities, recommended prevention methods, controls actually implemented in the application, and identified gaps. The results show that consolidated guidelines, when incorporated from the beginning of the development lifecycle, mitigate entire classes of vulnerabilities and reduce security debt, although their late or partial adoption sustains non-trivial risks. The systematic application of the OWASP Top 10 stands out as an effective instrument to qualify secure software design, with practical contributions to the engineering of critical systems and theoretical contributions to the literature on secure development. Keywords: Secure development; OWASP Top 10; Critical systems.