摘要：
背景: 目前及未来一段时间内, 可见的安全需求评审来源有三 1、施行SDL的业务线:需求评审是sdl一个环节 2、业务方对安全有要求,希望进行安全评审,给到安全建议 3、重要项目,虽未实行SDL,但安全团队依然对其有安全要求, 要对其进行安全评审; (三种来源并存的情况,也是因为目前没有足够人力资源 阅读全文
摘要：
针对一些项目需求评估安全性 给出基于业务需求场景的安全建议 操作流程: 1、根据需求文档,分析项目需求,了解背景及场景 (需求背景、业务流程、涉及数据类型密级),方式可以文档结合访谈询问沟通 2、根据设计文档(逻辑架构图、应用场景数据流图),分析设计(功能、架构、数据流、业务流) 3、安全评估:可用 阅读全文
摘要：
内容 from https://github.com/shieldfy/API-Security-Checklist/blob/master/README-zh.md 检查项 说明 是否满足 身份认证 身份认证 不要使用 Basic Auth 使用标准的认证协议 (如 JWT, OAuth). 不要 阅读全文
摘要：
业务有数据查看需求的:如比对、打电话 1、脱敏,可满足唯一性比对即可, 2、脱敏影响业务的,可以考虑在脱敏的同时,添加辅助字段,如住址的大概描述: 浙江省-杭州市 3、打电话可以采用第三方的电话服务,省去人工查看拨打电话,直接打电话 仍然不行的,要查看数据,则要进行1、限制次数 2、限制权限,根据属 阅读全文
摘要：
背景/风险 站库分离后,很多资源会存在云上的文件服务器, 如阿里云OSS; 使用时如不注意安全配置,会有一些安全风险,: 任何人可访问, 没访问控制 加了签名,但在url中,可呗获取(传输中过程任何环节、浏览器、历史记录等) url有效时间长,导致如为敏感信息,增加被找到的风险,与1结合 建议/方案 阅读全文
摘要：
背景: SSO统一身份认证,可以节省重复认证开发,也能统一保证安全、可用; 但sso在接入使用时也存在误区,会产生安全风险. 如网站应用先拿到用户口令,再去跟sso交互认证,这个过程中存在风险点 应用网站就能拿到口令 交互中存在被盗取、劫持的风险 sso使用建议 访问网站,先跳转到SSO 认证通过后 阅读全文
摘要：
已发表于freebuf原创 https://www.freebuf.com/articles/es/232252.html,格式跟这里略有不同 SDL只是方法论，忌为SDL而SDL 1、sdl是什么 sdl是安全研发生命周期 ,一个方法论, 理念是安全左移, 通过各种方法、工具、流程设计和交付更安全 阅读全文