Kliendiportaali audit

Kohe, kui veebileht annab igale kliendile oma juurdepääsu, on tegelikult oluline ainult üks küsimus: kas klient pääseb teise kliendi andmetele ligi? FastSolve testib teie kaitstud keskkondi seestpoolt, et veenduda, et vastus on eitav.

See test tehakse teie antud kontodega, kirjaliku volituse alusel ja koos kokku lepitud ulatuses. Päris klientide kontodega ei proovita midagi.

Selle teenuse eest esitatakse arve aktsepteeritud hinnapakkumise alusel. Audit annab tulemuseks hinnangu, mitte tööriista: tavapärane reegel, kõigepealt testite ja siis maksate, siin rakenduda ei saa. Hinnapakkumises on ette kirjas, mida see sisaldab ja kui põhjalik on analüüs.

Turvanõrkus, mis teeb kõige rohkem kahju

Esitluslehe mahakukkumine on ebameeldiv. Klient, kes loeb teise kliendi toimikut, on andmeleke, ja see ei ole enam teie risk, vaid tema oma.

• Aadressis numbri muutmine kuvab teise kliendi dokumendi, sest veebileht kontrollib isikut, kuid mitte juurdepääsuõigust.
• Halvasti kaitstud seanssi saab uuesti esitada või varastada ja nii ollakse sisse logitud kellegi teise asemel.
• Kõik rollid on sarnased: tavakonto pääseb ligi piiratud ekraanidele, sest tegelik eraldatus puudub.
• Parooli lähtestamine laseb ära arvata, kellel on konto, või võimaldab selle üle kontrolli haarata.

Need turvanõrkused ei paista tavalisel sirvimisel välja. Need leitakse, kui asetada end uudishimuliku ja seejärel pahatahtliku kliendi rolli.

Mida audit hõlmab

Test keskendub sellele, mis kaitseb või ei kaitse teie klientide andmeid üksteise eest.

1. Andmete eraldatus

Kontrollime kontoga sisse logituna, et ükski aadressi, identifikaatori või parameetri muutmine ei anna juurdepääsu teise kasutaja sisule.

Tüüpolukord. Arvelduskeskkonnas kuvas numbri suurendamine eelmise kliendi arve. Parandus seisnes omaniku kontrollimises iga juurdepääsu korral, mitte ainult isiku tuvastamises.

2. Seansid

Tunnuste töökindlus, aegumine, käitumine väljalogimisel, küpsiste ulatus: veendume, et seanssi ei saa varastada ega põhjendamatult pikendada.

Tüüpolukord. Seansiküpsis kehtis kogu domeenis, kaasa arvatud vähem turvalistes keskkondades. Selle ulatuse piiramine sulges tee seansi varastamiseks.

3. Rollid ja õigused

Kontrollime, et iga roll näeb seda, mis teda puudutab, ja mitte rohkem, ning et tavakonto ei pääse ligi haldusfunktsioonile.

Tüüpolukord. Haldusaadress jäi kättesaadavaks tavakontole, kes seda teadis. Serveripoolne rollikontroll taastas eraldatuse.

4. Sisselogimine ja konto taastamine

Vastupidavus jõurünnakutele, teated, mis ei reeda konto olemasolu, turvaline parooli unustamise protseduur: välisuks väärib sama palju tähelepanu kui sisemus.

Tüüpolukord. Vorm näitas selgelt, kui kasutajanimi oli olemas, mis lihtsustas sihtimist. Neutraalne teade ja katsete piirang lõpetasid selle tahtmatu abi.

Mida see audit ei hõlma

See keskendub kaitstud keskkonnale ja selle kontodele. See ei väida, et asendab kogu veebilehe põhjalikku läbivaatust.

• See ei asenda veebilehe üldist auditit, mis vaatab ka avalikku osa, seadistust ja avalikke faile. Need kaks täiendavad teineteist.
• See ei paranda leitud turvanõrkusi: turvamine on eraldi teenus, mida FastSolve samuti pakub.
• See kehtib tänase seisu kohta. Rolli või funktsiooni hilisem lisamine õigustab uut kontrolli.
• See ei asenda ametlikku sertifitseerimist, kui teie valdkond seda nõuab.

Eelistame piiritleda täpse testi ja viia selle lõpuni, selle asemel et kõike pealiskaudselt üle vaadata ja mitte midagi tegelikult kontrollida.

Korduma kippuvad küsimused

Öelge meile, mida teie kliendid ei tohiks kunagi näha

Vaata, kuidas projekt kulgeb kaardistamisest üleandmiseni
Vaata kõiki FastSolve'i teenuseid