Web tizimlar ularni qurish arxitekturalari va modeli

Oldini olish:

• 
  Tranzitda: tegishli sertifikat va PFS (Perfect Forward Secrecy) bilan HTTPS dan foydalaning. HTTPS bo'lmagan ulanishlar orqali hech narsa qabul qilmang. Cookie-fayllarda xavfsiz bayroqqa ega bo'ling.
  
• 
  Saqlashda: Bu qiyinroq. Avvalo, siz ta'sir qilishni kamaytirishingiz kerak. Agar sizga maxfiy ma'lumotlar kerak bo'lmasa, uni maydalab tashlang. Sizda mavjud bo'lmagan ma'lumotlarni o'g'irlab bo'lmaydi. Kredit karta ma'lumotlarini hech qachon saqlamang , chunki siz PCI-ga mos kelishi bilan shug'ullanishni xohlamaysiz. Stripe yoki Braintree kabi to'lov protsessorlari bilan ro'yhatdan o'ting . Ikkinchidan, agar sizda haqiqatan ham kerak bo'lgan nozik ma'lumotlaringiz bo'lsa, ularni shifrlangan holda saqlang va barcha parollar xeshlanganligiga ishonch hosil qiling. Xeshlash uchun bcrypt dan foydalanish tavsiya etiladi. Agar siz bcrypt dan foydalanmasangiz, tuzlash va kamalak jadvallarini o'rganing.
  

Va aniq aytish xavfi ostida, shifrlash kalitlarini himoyalangan ma'lumotlarning yonida saqlamang. Bu sizning velosipedingizni kaliti bo'lgan qulf bilan saqlashga o'xshaydi. Zaxira nusxalaringizni shifrlash bilan himoya qiling va kalitlaringizni juda maxfiy saqlang. Va, albatta, kalitlarni yo'qotmang!
Keng tarqalgan web-xavfsizlik xatosi №7: kirishni boshqarish funktsiyasi darajasida etishmayotgan. Bu shunchaki avtorizatsiya xatosi. Bu serverda funktsiya chaqirilganda, tegishli avtorizatsiya amalga oshirilmaganligini anglatadi. Ko'pincha ishlab chiquvchilar foydalanuvchi interfeysini server tomoni yaratganiga ishonishadi va ular server tomonidan taqdim etilmagan funksiyalarga mijoz kirishi mumkin emas deb o'ylashadi. Bu unchalik oddiy emas, chunki tajovuzkor har doim “yashirin” funksiyaga so‘rovlar solib qo‘yishi mumkin va foydalanuvchi interfeysi bu funksiyaga osonlikcha kirish imkoniyatini yaratmasligi unga xalaqit bermaydi. Tasavvur qiling-a, panel bor va tugma faqat foydalanuvchi administrator bo'lsa, foydalanuvchi interfeysida mavjud. Hech narsa tajovuzkorni ushbu funksiyani topishga va avtorizatsiya yetishmayotgan bo'lsa, undan noto'g'ri foydalanishga to'sqinlik qilmaydi.