#5

A4 - Insecure Design - aplikacja jest podatna jeśli

komunik. o błęd. zawiera. wraż. info.; walid. danych odbywa się tylko po stronie klienta; dane są przecho. w postaci odwracal.; w param. GET występują wrażliwe dane

A4 - Insecure Design - jak zapobiegać

ustal. bezpiecz. cykl rozwo. && zabez. i kontr. związ. z prywat.; korzyst. z biblio. bezpie. wzorc. projekt. || gotow. do użyć. kompo.; przypad. nie(właś.) użycia dla każd. warstw. apk; unit testy i integr.; zinteg. kontrolę wiaryg. na każdym poziom. apk.

A5 - Security Misconfiguration - definicja

błęd. konf. zabez. - korzyst. z niezabez., domyśl., niekomplet., konf., źle skonfig. nagłówków HTTP i pokazy. pełnych komuni. o błęd. zawier. poufne info.

A5 - Security Misconfiguration - aplikacja jest podatna jeśli

niepotrz. fun. są włącz./zainst.; obsługa błęd. ujaw. cały stacktrace lub inne poufne info. o błęd. dla użytk.; serw. nie wysya nagłó. czy dyrekt. zabez./nie są one ustaw. na bezpiecz. wart.; oprogr. jest nieakt. i podatne na ataki

A5 - Security Misconfiguration - jak zapobiegać

używ. identy. konfig. na środowi. DEV/QA/PROD. z użyciem róż. upraw. dla każd. środ., proc. ten powinien być zauto. aby zmini. pracę potrzeb. na utworz. nowe. bezpie. środo.; instalo. tylko potrz. fun.; wysył. nagłó. bezpie. do klient. (Security Headers)

A6 - Vulnerable and Outdated Components - definicja

Kompo./biblio zawier. znane błędy/podatności - elementy te, działają zwykle z tymi samymi upraw., co apk., jeśli któryś z nich jest podatny może dojśc do utraty danych lub przejęcia kontroli nad serw.