OWASP – Top 10 owasp-top
Das Open Web Application Security Project (OWASP) führt eine Liste zu den seiner Meinung nach zehn häufigsten Sicherheitsrisiken für Web-Anwendungen.
Diese sind unten aufgeführt – zusammen mit einer Erläuterung, wie CRX mit ihnen umgeht.
1. Injection injection
- SQL – Vorbeugung per Design: Das Standard-Repository umfasst und erfordert keine herkömmliche Datenbank, denn alle Daten werden im Content-Repository gespeichert. Der Zugriff ist komplett auf authentifizierte Benutzende beschränkt und kann nur durch die JCR-API durchgeführt werden. SQL wird nur für Suchanfragen unterstützt (SELECT). Darüber hinaus bietet SQL Unterstützung für Werte-Binding.
- LDAP – Eine LDAP-Injection ist nicht möglich, da das Authentifizierungsmodul die Eingaben filtert und den Benutzerimport mithilfe der bind-Methode durchführt.
- BS – Aus der Anwendung heraus wird keine Shell-Ausführung durchgeführt.
2. Cross-Site-Scripting (XSS) cross-site-scripting-xss
Die allgemeine Praxis zur Schadensbegrenzung besteht in der Codierung aller Ausgaben benutzergenerierter Inhalte mithilfe einer Server-seitigen XSS-Schutzbibliothek, die auf dem OWASP Encoder und AntiSamy basiert.
XSS hat sowohl bei den Tests als auch bei der Entwicklung eine hohe Priorität und alle festgestellten Probleme werden (in der Regel) umgehend behoben.
3. Fehler in Authentifizierung und Session Management broken-authentication-and-session-management
AEM nutzt fundierte, bewährte Authentifizierungstechniken und greift hierzu auf Apache Jackrabbit und Apache Sling zurück. In AEM werden keine Browser-/HTTP-Sitzungen verwendet.
4. Unsichere direkte Objektreferenzen insecure-direct-object-references
Jeglicher Zugriff auf Datenobjekte wird durch ein Repository vermittelt und daher durch die rollenbasierte Zugriffssteuerung beschränkt.
5. Cross-Site Request Forgery (CSRF) cross-site-request-forgery-csrf
Auf das Risiko der Cross-Site Request Forgery (CSRF) wird durch die automatische Einschleusung eines kryptografischen Tokens in alle Formulare und AJAX-Anforderungen sowie durch die Verifizierung dieses Tokens auf dem Server bei jedem POST eingegangen.
Darüber hinaus ist AEM mit einem Referrer-Header-basierten Filter ausgestattet, der so konfiguriert werden kann, dass er nur POST-Anforderungen von bestimmten Hosts (in einer Liste definiert) zulässt.
6. Sicherheitsrelevante Fehlkonfiguration security-misconfiguration
Es kann nicht garantiert werden, dass sämtliche Software immer korrekt konfiguriert ist. Allerdings versucht Adobe, so viel Hilfe wie möglich bereitzustellen und die Konfiguration so einfach wie möglich zu gestalten. Darüber hinaus ist AEM mit integrierten Sicherheitsintegritätsprüfungen ausgestattet, die Ihnen bei der Überwachung der Sicherheitskonfiguration auf einen Blick helfen.
In der Sicherheitsprüfliste finden Sie weitere Informationen, die Ihnen Schritt für Schritt Härtungsanweisungen bereitstellen.
7. Unsicherer kryptografischer Speicher insecure-cryptographic-storage
Die Kennwörter werden als kryptografische Hashes im Benutzerknoten gespeichert. Solche Knoten können standardmäßig nur von der Administratorin bzw. dem Administrator und von der Benutzerin bzw. dem Benutzer selbst gelesen werden.
Sensible Daten wie Drittanbieter-Ameldedaten sind in verschlüsselter Form mithilfe einer FIPS 140-2-zertifizierten kryptografischen Bibliothek gespeichert.
8. Fehlgeschlagene Beschränkung des URL-Zugriffs failure-to-restrict-url-access
Das Repository ermöglicht die Einstellung von feinabgestimmten Rechten (wie durch JCR angegeben) für jede Person bzw. Gruppe unter jedem beliebigen Pfad über Zugriffssteuerungseinträge. Zugriffbeschränkungen werden durch das Repository durchgesetzt.
9. Unzureichende Transportschichtsicherheit insufficient-transport-layer-protection
Dieses Risiko wird durch die Server-Konfiguration gemindert (z. B. ausschließliche Verwendung von HTTPS).
10. Ungeprüfte Um- und Weiterleitungen unvalidated-redirects-and-forwards
Dieses Risiko wird durch die Beschränkung aller Umleitungen an benutzerseitig bereitgestellte Ziele auf interne Standorte gemindert.