Testen mit dem OWASP Testing Guide (Teil 2)

Question 1

Was sind best Praktises für die Plattform Integration?

Answer 1

Anwendung fordert nur Minimum an Berechtigungen an

Nutzereingaben und Eingaben von externen Quellen/Schnittstellen werden validiert

Anwendung nutzt ausschließlich sichere Implementierungen für die Interprozesskommunikation mit anderen Anwendungen

Anwendung exportiert sensitive Daten über URL Schemata nur bei ausreichender Sicherung

WebViews werden so konfiguriert, dass keine kritischen Handler (z.B. tel://, file://) aufgerufen werden dürfen

Anwendung nutzt eine sichere Serialisierung

Anwendung erkennt Ausführung auf einem Gerät mit Root-Berechtigung (Jailbreak Detection)

Anwendung erfordert ein aktuelles Betriebssystem

Question 2

Was sind Aspekte für gute Codequalität?

Answer 2

Debugging Code wurde entfernt

Anwendung protokolliert Nachrichten ohne Debuginformationen

Anwendung behandelt alle möglichen Exceptions

Quelltext enthält keine sensitiven Daten
Z.B. keine festcodierten Zugangspasswörter für Datenbanken

Fehlerbehandlung in Sicherheitsmechanismen verweigert den Zugriff standardmäßig

Es soll sichergestellt werden, dass der Speicher bei nicht verwaltetem Code sicher verwaltet wird

Question 3

Nenne und erkläre kurz die einzelnen Phasen der Bedrohungs- und Risikoanalyse

Answer 3

1. Phase: Werte und Akteure identifizieren
2. Phase: Überblick Architektur
3. Phase: System zerteilen
   (Datenhaltung entlang der Vertrauensgrenzen in Einzelteile zerteilen)
4. Phase: Bedrohungen identifizieren und dokumentieren
   (Ziel: möglichst viele Bedrohungen identifizieren)
5. Phase: Bedrohungen bewerten
   (Ziel: sich gegen wichtige und kritische Bedrohungen schützen)
6. Phase: Gegenmaßnahmen planen
   (Entscheidung, gegen welche Angriffe man schützen möchte)

Question 4

Nenne die STRIDE-Klassifikation von Angriffen

Answer 4

Spoofing: Erschleichen einer Identität, oft für folgenden Angriff benutzt

Tampering: Verändern von Informationen

Repudiation: Abstreiten durchgeführte Aktion
Information

Disclosure: Veröffentlichen von Informationen

Denial of Service: Angriff auf Verfügbarkeit

Elevation of Privilege: Verschaffen von zusätzlichen Rechten

Question 5

Was macht die Datenflussanalyse?

Answer 5

Datenflüsse zwischen externen Akteuren und Benutzern, aktiven Systemkompo-nenten und passiven Ressourcen darstellen

Vertrauensgrenzen darstellen

Ermöglicht strukturierte Identifizierung von Bedrohungen

Question 6

Wie arbeitet das OWASP Risk Rating?

Answer 6

Vier Themengruppen

• Threat Agent
• Vulnerability
• Technical Impact
• Business Impact

Pro Themengruppe 4 Faktoren

Bewertung jedes Faktors zwischen 0 und 9
Wert 0: bester Wert für System
Wert 9: schlechtester Wert für System (Worst Case)