OWASP ASVS: standard weryfikacji bezpieczeństwa aplikacji

Standard weryfikacji bezpieczeństwa aplikacji (ASVS) to framework wymagań bezpieczeństwa dla aplikacji webowych. Zapewnia trzy poziomy weryfikacji (L1, L2, L3) oraz ponad 200 szczegółowych mechanizmów kontrolnych zorganizowanych w rozdziały obejmujące wszystkie aspekty bezpieczeństwa aplikacji.

L1 dotyczy wszystkich aplikacji — obejmuje podstawowe mechanizmy bezpieczeństwa. L2 jest przeznaczony dla aplikacji przetwarzających wrażliwe dane — obejmuje większość wymagań. L3 dotyczy aplikacji wymagających wysokiego poziomu gwarancji bezpieczeństwa, takich jak aplikacje finansowe i medyczne, i wymaga najbardziej rygorystycznej weryfikacji. Większość zespołów wybiera poziom L2.

ASVS V1 wymaga udokumentowanej architektury bezpieczeństwa, modelu zagrożeń, udokumentowanych granic zaufania oraz rozdzielenia komponentów według poziomu wrażliwości. Przeglądy architektury pozwalają wykryć systemowe wady, zanim przerodzą się one w powszechne problemy implementacyjne.

V2 obejmuje wymagania dotyczące haseł (minimalna długość, sprawdzanie haseł ujawnionych w wyciekach, bezpieczne haszowanie), zarządzanie sesjami, wymagania dotyczące uwierzytelniania wieloskładnikowego, bezpieczeństwo odzyskiwania poświadczeń oraz ochronę przed atakami brute force.

Sesje muszą używać kryptograficznie losowych tokenów o wystarczającej długości, być unieważniane po wylogowaniu i upływie limitu czasu oraz chronione przed atakiem session fixation. W stosownych przypadkach ciasteczka muszą używać atrybutów Secure, HttpOnly i SameSite=Strict.

Każdy dostęp do zasobu musi być autoryzowany po stronie serwera. ASVS V4 wymaga domyślnej odmowy dostępu, ochrony przed przechodzeniem między katalogami, zapobiegania pionowemu i poziomemu eskalowaniu uprawnień oraz rejestrowania decyzji dotyczących kontroli dostępu.

V5 obejmuje zapobieganie wszystkim rodzajom wstrzyknięć: parametryzowane zapytania SQL, ochronę przed wstrzyknięciem poleceń, bezpieczne analizowanie XML (zapobieganie XXE), wstrzyknięcia do nagłówków HTTP oraz kodowanie danych wyjściowych zależne od kontekstu w celu zapobiegania XSS.

Aplikacje nie mogą ujawniać użytkownikom stack trace’ów ani ścieżek wewnętrznych. Zdarzenia bezpieczeństwa, takie jak nieudane uwierzytelnianie, naruszenia kontroli dostępu i nieudane sprawdzanie danych wejściowych, muszą być rejestrowane z wystarczającą szczegółowością na potrzeby badania incydentów, bez zapisywania wrażliwych danych.

Wrażliwe dane należy identyfikować i klasyfikować. Sekrety i PII muszą być szyfrowane podczas przechowywania i przesyłania. Pamięci podręczne i pliki tymczasowe nie mogą przechowywać wrażliwych danych. Dane należy usuwać, gdy nie są już potrzebne, zgodnie z zasadami przechowywania danych.

ASVS można stosować jako listę kontrolną wymagań podczas tworzenia oprogramowania, plan testów podczas testów bezpieczeństwa oraz framework audytowy podczas przeglądów zgodności. Należy przypisać mechanizmy kontrolne ASVS zespołom, śledzić ich realizację w narzędziu do zarządzania projektem oraz dokumentować dowody zgodności.

ASVS można odwzorować na NIST 800-53, ISO 27001 i PCI-DSS. Stosowanie ASVS jako punktu odniesienia dla bezpieczeństwa aplikacji upraszcza zapewnianie zgodności, ponieważ mechanizmy kontrolne jednocześnie spełniają wymagania wielu frameworków, ograniczając powielanie prac oceniających.

OWASP ASVS zapewnia kompleksowy i uporządkowany framework wymagań bezpieczeństwa obejmujący uwierzytelnianie, zarządzanie sesjami, kontrolę dostępu, zapobieganie wstrzyknięciom, ochronę danych i wiele innych obszarów. Łączy wymagania bezpieczeństwa, wskazówki dotyczące implementacji oraz dowody zgodności w jednym standardzie.