Il Open Web Application Security Project (OWASP) mantiene un elenco dei 10 rischi per la sicurezza delle applicazioni Web considerati come primi 10 rischi per la sicurezza delle applicazioni Web.
Questi sono elencati di seguito, insieme a una spiegazione di come CRX si occupa di loro.
La pratica generale di mitigazione consiste nel codificare tutti gli output di contenuto generato dall'utente utilizzando una libreria di protezione XSS lato server basata su OWASP Encoder e AntiSamy.
XSS è una priorità assoluta sia durante il test che durante lo sviluppo, e tutti i problemi rilevati vengono (generalmente) risolti immediatamente.
AEM utilizza tecniche di autenticazione sonore e collaudate, affidandosi a Apache Jackrabbit e Apache Sling. Le sessioni browser/HTTP non vengono utilizzate in AEM.
L'accesso agli oggetti dati è gestito dall'archivio e pertanto limitato da un controllo di accesso basato su ruoli.
Il CSRF (Cross-Site Request Forgery) è attenuato dall'invio automatico di un token di crittografia in tutti i moduli e le richieste di AJAX e dalla verifica del token sul server per ogni POST.
Inoltre, AEM viene fornito con un filtro basato sull'intestazione del referente, che può essere configurato su only per consentire le richieste di POST da host specifici (definiti in un elenco).
È impossibile garantire che tutto il software sia sempre configurato correttamente. Tuttavia, ci sforziamo di fornire il maggior numero possibile di indicazioni e rendere la configurazione il più semplice possibile. Inoltre, AEM navi con controlli di sicurezza integrati che consentono di monitorare rapidamente la configurazione di sicurezza.
Per ulteriori informazioni, consultare la lista di controllo della sicurezza, che fornisce istruzioni dettagliate per l'applicazione del livello di protezione.
Le password sono memorizzate come hash crittografici nel nodo utente; per impostazione predefinita tali nodi sono leggibili solo dall'amministratore e dall'utente stesso.
I dati sensibili, come le credenziali di terze parti, vengono memorizzati in un modulo crittografato utilizzando una libreria di crittografia certificata FIPS 140-2.
L'archivio consente di impostare privilegi finemente granulati (come specificato da JCR) per qualsiasi utente o gruppo in qualsiasi percorso, attraverso le voci di controllo degli accessi. Le restrizioni di accesso sono applicate dall'archivio.
Mitigato dalla configurazione del server (ad esempio, usa solo HTTPS).
Mitigato limitando tutti i reindirizzamenti alle destinazioni fornite dall'utente alle posizioni interne.