Software security 1

Question 1

Hvad er OWASP?

Answer 1

1. Open Worldwide Application Security Project
2. Det er en gruppe, der hjælper med at gøre software og apps mere sikre ved at levere oplysninger og ressourcer til at forhindre sikkerhedsproblemer.

Question 2

Hvad er confidentiality?

Answer 2

Det er beskyttelse af hemmelige data mod uautoriseret adgang og visning.

Question 3

Hvad er integrity?

Answer 3

Det er at man sørger for, at data ikke ændres uden autorisation.

Question 4

Had er availability?

Answer 4

Det er sikring af, at data og systemer er tilgængelige for brugerne, når det er nødvendigt.

Question 5

Hvad er infrastructure?

Answer 5

Det er alt det underlæggeinde indenfor et firma, såsom ledninger, servere, lagring og software.

Question 6

Hvad er formået med infrastructure?

Answer 6

1. Software kører problemfrit.
2. Software kan håndtere flere brugere.

Question 7

Nævn de 5 business challenges.

Answer 7

1. Accumulation of software.
2. Legacy systems.
3. Partners.
4. Various types of data.
5. Employee churn/replacement.

Question 8

Hvad er de udfordringer, der kommer med “accumulation of software”?

Answer 8

1. Komplekst.
2. Svært at vedligeholde.
3. Svært at integrere med andre systemer og risikerer sikkerhedsproblemer.
4. Dyrt at administrere.

Question 9

Hvad er de udfordringer, der kommer med “legacy systems”?

Answer 9

1. Tab af dokumentation/know how.
2. Svært at migrerer til nye platforme.
3. Gammel software, dermed potentielle sikkerhedshuller.
4. Medarbejderne foretrækker at lære og arbejde med nyere teknologier.

Question 10

Hvad er de udfordringer, der kommer med “partners”?

Answer 10

1. Kommunikationsproblemer.
2. Integrationsproblemer.
3. Data fortrolighed (Behandler de vores data fortroligt?).

Question 11

Hvad er de udfordringer, der kommer med “various types of data”?

Answer 11

Forskellige organisationer kan kræve data i et bestemt format, hvilket kan være udfordrende at levere.

Question 12

Hvad er de udfordringer, der kommer med “employee churn/replacement”?

Answer 12

1. Udfordring med at uddanne nyansatte.
2. Potentiel datatab/know how.

Question 13

Nævn de 5 software challenges.

Answer 13

1. Complexity.
2. Various languages.
3. Various programming paradigms.
4. Conflicting data types and available structures.
5. Steam train vs electric train.

Question 14

Hvad er de udfordringer, der kommer med “complexity”?

Answer 14

Det kan blive kompleks, som kan skabe problemer for sikkerheden og softwarens CIA.

Question 15

Hvad er de udfordringer, der kommer med “various languages”?

Answer 15

Forskellige dele af softwaren kan være skrevet på forskellige programmeringssprog, som har forskellige fordele og ulemper, der skal tages i betragtning.

Question 16

Hvad er de udfordringer, der kommer med “various programming paradigms”?

Answer 16

Forskellige programmeringsparadigmer, såsom klient-server og model-view-controller, har forskellige implikationer for softwareudvikling.

Question 17

Hvad er de udfordringer, der kommer med “conflicting data types and available structures”?

Answer 17

Ældre programmer kan bruge modstridende datatyper og kan mangle struktur, hvilket kan gøre det vanskeligt at interagere med dem.

Question 18

Hvad er de udfordringer, der kommer med “steam train vs electric train”?

Answer 18

Dette er en metafor for faren mellem gamle og nye teknologier, som kan udgøre udfordringer for softwareudvikling.

Question 19

Nævn de 3 developer’s challenges.

Answer 19

1. Work in teams across organization – and partners, vendors, sub-contractors.
2. Work with legacy systems.
3. Learn new technologies.

Question 20

Hvad er de udfordringer, der kommer med “working in teams across organization – and partners, vendors, sub-contractors”?

Answer 20

1. Udviklere skal interagere med mange andre udviklere, som kan skabe kommunikations problemer.
2. Udviklere skal arbejde med underleverandører, som måske ønsker at outsource dele af infrastruktursoftwaren.

Question 21

Hvad er de udfordringer, der kommer med “learning new technologies”?

Answer 21

1. Det er svært.
2. Medarbejdere skal blive lært op, hvilket kræver ressourcer.

Question 22

Nævn de 3 integration challenges.

Answer 22

1. Enable communication between components.
2. Need mediator, interpreter, translator.
3. Recognize standard patterns.

Question 23

Hvad er de udfordringer, der kommer med “enabling communication between components”?

Answer 23

Forskellige komponenter kan bruge forskellige protokoller, dataformater og programmeringssprog. Det kan gøre det svært for dem at forstå hinandens budskaber og data.

Question 24

Hvad er de udfordringer, der kommer med “needing a mediator, interpreter, translator”?

Answer 24

Forskellige softwarekomponenter kan bruge forskellige kommunikationsprotokoller, dataformater og sprog, hvilket gør det svært for dem at kommunikere direkte med hinanden.

Question 25

Hvad er de udfordringer, der kommer med “recognizing standard patterns”?

Answer 25

Der findes mange forskellige mønstre og teknikker, og det kan være komplekst at vælge det passende mønster til en given situation.

Question 26

Hvad er skudårsproblemet?

Answer 26

Det er et problem, der opstår, når computere ikke implementerer skudår korrekt, hvilket resulterer i fejl i beregningen af, hvilke år der er skudår, eller fra manipulation af datoer uden hensyntagen til forskellen mellem skudår og almindelige år.

Question 27

Hvad er det for nogle usandheder, programmører tror på om tid, og er de altid sande?

Answer 27

1. At der altid er 24 timer i døgnet.
2. At måneder har enten 31 eller 30 dage.
3. At år har 365 dage.

Disse forudsætninger er dog ikke altid korrekte, da der kan være variationer på grund af faktorer som sommertid og skudår.

Question 28

Hvorfor er antagelser (assumptions) en udfordring i programmering?

Answer 28

Antagelser kan føre til fejl og sikkerhedsfejl, hvis de ikke testes eller verificeres, derfor vigtigt at identificere og adressere antagelser i udviklingsprocessen for at sikre sikkerhed og pålidelighed.

Question 29

Hvad er Juice Shop?

Answer 29

1. Det er en moderne applikation, der er designet til at have sikkerhedsfejl.
2. Det er en lovlig måde for enkeltpersoner at lære, hvordan man finder følsomme oplysninger om en applikation og praktiserer hacking.
3. Det bruges ofte som et træningsværktøj for sikkerhedsprofessionelle og udviklere til at lære om webapplikationssikkerhed.

Question 30

Hvad er et hacker lab?

Answer 30

Det er et fællesskabsrum eller et arbejdsområde, der er designet til personer, der er interesserede i teknologi, programmering eller hacking.

Question 31

Nævn de 3 design vulnerabilities.

Answer 31

1. Lack of input validation.
2. Inadequate authentication and authorization.
3. Insecure data storage.

Question 32

Hvad er de udfordringer, der kommer med “the lack of input validation”?

Answer 32

Manglende kontrol af brugerinput kan føre til sikkerhedsproblemer såsom SQL-injektion eller XSS-angreb.

NOTE: prepared statements beskytter mod SQL-injection

Question 33

Hvad er de udfordringer, der kommer med “inadequate authentication and authorization”?

Answer 33

Manglende implementering af godkendelses- og autorisationsmekanismer kan tillade uautoriseret adgang til følsomme data eller funktionalitet.

Question 34

Hvad er de udfordringer, der kommer med “insecure data storage”?

Answer 34

Lagring af følsomme data på en usikker måde, såsom lagring af adgangskoder i almindelig tekst, gør dem sårbare over for tyveri eller uautoriseret adgang.

Question 35

Hvad er implementation vulnerability?

Answer 35

Det er sikkerhedssvagheder i selve kodningen og konfigurationen af et softwaresystem eller en applikation, snarere end i dets design eller tilsigtede funktionalitet.

Eksempel: Cæsar-kryptering. Dette er en svag krypteringsalgoritme, der let kan brydes og udsætter følsomme data for angribere.

Question 36

Nævn de 6 almindelige secure design issues.

Answer 36

1. Authentication.
2. Authorization.
3. Accounting.
4. Weak or missing session management.
5. Weak or missing authentication.
6. Weak or missing authorization.

Question 37

Hvad er Authentication, og hvorfor er det et secure design issue?

Answer 37

1. Det er processen med at verificere identiteten af en bruger, enhed eller system.
2. Det er et sikkert designproblem, fordi det er processen med at verificere identiteten af en bruger, enhed eller system.

Question 38

Hvad er Authorization, og hvorfor er det et secure design issue?

Answer 38

1. Det er processen med at bestemme, hvilke handlinger en autentificeret enhed har tilladelse til at udføre.
2. Hvis det ikke er gjort korrekt, kan folk få adgang til oplysninger eller ressourcer, de ikke skal. Dette kan forårsage en masse problemer, såsom databrud eller tab.

Question 39

Hvad er Accounting, og hvorfor er det et secure design issue?

Answer 39

1. Det er processen med at registrere information om brugeraktiviteter i et system.
2. Den holder styr på brugeraktiviteter, hvilket hjælper med at identificere sikkerhedshændelser og opretholde overholdelse af regler. Uden det kan det være svært at opdage og reagere på sikkerhedsbrud.

Question 40

Hvad er formålet med AAA?

Answer 40

Forstærker og hjælper med at opfylde CIA.

Question 41

Hvad er input validation?

Answer 41

1. validere at det man indsætter i inputfeltet er korrekt.

Question 42

Hvorfor er missing or flawed input validation et security issue?

Answer 42

Det er den vigtigste årsag til de mest alvorlige sårbarheder. Uden korrekt inputvalidering er det muligt for ondsindede eller utilsigtede data at komme ind i et system, hvilket kan forårsage sikkerhedsproblemer såsom bufferoverløb, SQL-injektionsangreb og cross-site scripting (XSS) angreb.

Question 43

Hvad er et buffer overflow?

Answer 43

Det er et problem i software, der opstår, når der lægges for meget data ind i en lille plads i en computers hukommelse.

Question 44

Hvad er SQL injection?

Answer 44

Det er et problem, der opstår, når nogen lægger dårlig kode ind på en hjemmeside, der taler til en database.

Denne dårlige kode kan ændre eller se på følsomme oplysninger i databasen.

Question 45

Hvad er cross-site scripting (XSS)?

Answer 45

1. Man indsætter ondsindet kode i en input felt inde i den browser man targetter.
2. Dermed når andre kører den samme browser så køres det ondsidnet kode også.
3. Tab af persondata.

Question 46

Hvad er “Principle of least privilege”?

Answer 46

1. Det er det vigtigste princip.
2. Den fastslår, at et emne kun skal have de minimumsrettigheder, der er nødvendige for at udføre deres opgave. Dette hjælper med at holde tingene sikre og forhindre ulykker eller skader.

Eksempel: Hvis nogen kun skal læse et dokument, skal de ikke have mulighed for at ændre det.

Question 47

Hvad er “Principle of fail-safe defaults”?

Answer 47

Man skal ikke have adgang information man explicit har fået af vide at man har adgang tid.