ATW-C4

Đâu không phải là định hướng thiết kế ứng dụng web an toàn

• Vấn đề kiểm tra đầu vào
• Vấn đề xác thực
• Trao quyền
• Quản lý hệ thống
• Các dữ liệu nhạy cảm

Đâu không phải ý trong vấn đề kiểm tra đầu vào trong định hướng thiết kế ứng dụng web an toàn

• Không tin tưởng đầu vào từ người dùng
• Xem xét thực hiện kiểm tra tập trung
• Không chỉ dựa vào việc kiểm tra ở client side
• Tối thiểu cần kiểm tra kiểu, kích thước, định dạng và thời gian diễn ra

Đâu không phải ý trong vấn đề xác thực trong định hướng thiết kế ứng dụng web an toàn

• Chia website thành các phần theo quyền truy nhập
• Sử dụng mật khẩu mạnh
• Không lưu mật khẩu ở dạng rõ
• Sử dụng mã hoá

Đâu không phải ý trong trao quyền trong định hướng thiết kế ứng dụng web an toàn

• Cấp quyền tối thiểu cho tài khoản người dùng
• Xem xét cấp quyền ở mức tổng quát
• Thực hiện tách các đặc quyền
• Hạn chế người dùng truy cập trực tiếp đến tài nguyên hệ thống cấp

Đâu không phải ý trong quản lý cấu hình trong định hướng thiết kế ứng dụng web an toàn

• Sử dụng các tài khoản với quyền tối thiểu chạy các dịch vụ và tiến trình
• Không lưu thông tin tài khoản ở dạng rõ
• Sử dụng các biện pháp xác thực và cấp quyền “mạnh” ở phần quản trị
• Sử dụng kênh truyền thông bảo mật cho hệ thống
• Tránh lưu các thông tin nhạy cảm trong không gian web

Đâu không phải ý trong quản lý các dữ liệu nhạy cảm trong định hướng thiết kế ứng dụng web an toàn

• Mã hóa các dữ liệu nhạy cảm cần truyền
• Sử dụng kênh truyền thông bảo mật
• Sử dụng các biện pháp kiểm soát truy nhập mạnh với các dữ liệu nhạy cảm
• Không lưu các dữ liệu nhạy cảm trong các cookie cố định
• Tránh gửi dữ liệu nhạy cảm sử dụng HTTP-POST

Đâu không phải ý trong quản lý phiên trong định hướng thiết kế ứng dụng web an toàn

• Đặt thời gian kết thúc cho phiên
• Sử dụng kênh truyền thông bảo mật
• Mã hóa nội dung của các cookie dùng cho xác thực
• Bảo vệ trạng thái phiên chống truy nhập trái phép

Đâu không phải ý trong xử lý các tham số trong định hướng thiết kế ứng dụng web an toàn

• Mã hóa các cookie nhạy cảm
• Không tin tưởng các trường mà người dùng có thể xử lý
• Kiểm tra tất cả các dữ liệu từ người dùng
• Không chỉ dựa vào việc kiểm tra ở client side

Đâu không phải ý trong mã hoá trong định hướng thiết kế ứng dụng web an toàn

• Nên sử dụng các mô đun mã hóa tự phát triển
• Sử dụng thuật toán và khóa phù hợp
• Nên thay đổi khóa định kỳ
• Lưu khóa ở các vị trí an toàn

Đâu không phải ý trong quản lý các ngoại lệ trong định hướng thiết kế ứng dụng web an toàn

• Sử dụng kỹ thuật xử lý ngoại lệ có cấu trúc
• Không tiết lộ các chi tiết nhạy cảm về ứng dụng
• Ghi logs các dữ liệu nhạy cảm như mật khẩu
• Xem xét sử dụng khung quản lý ngoại lệ tập trung