Web tizimlar ularni qurish arxitekturalari va modeli

Oldini olish: Foydalanuvchi avtorizatsiyasini toʻgʻri va izchil amalga oshiring va tanlovlarni oq roʻyhatga kiriting. Ko'pincha, ma'lumotlarni ichki saqlash va mijozdan CGI parametrlari orqali uzatilishiga tayanmaslik orqali butun muammoning oldini olish mumkin. Ko'pgina ramkalardagi sessiya o'zgaruvchilari bu maqsad uchun juda mos keladi.
Umumiy web-xavfsizlik xatosi №5: Xavfsizlik noto'g'ri konfiguratsiyasi. Noto'g'ri sozlangan web-serverlar va ilovalar to'g'ri sozlanganlarga qaraganda ancha keng tarqalgan. Ehtimol, buning sababi, buzish usullarining yetishmasligi. Ba'zi misollar:

1. 
   Ilovani ishlab chiqarishda nosozliklarni tuzatish yoqilgan holda ishga tushirish.
   
2. 
   Serverda qimmatli ma'lumotlarni sizdiradigan kataloglar ro'yxati yoqilgan.
   
3. 
   Eskirgan dasturiy ta'minotni ishga tushirish (O'ylab ko'ring, WordPress plaginlari, eski PhpMyAdmin).
   
4. 
   Mashinada keraksiz xizmatlarning ishlashi.
   
5. 
   Standart kalitlar va parollarni o'zgartirmaslik. (Siz ishonganingizdan ham tez-tez sodir bo'ladi!)
   
6. 
   Buzg'unchilarga stek izlari kabi xatolarni qayta ishlash ma'lumotlarini ochish.
   

Oldini olish: “Yaratish va joylashtirish” jarayonining yaxshi (afzalroq avtomatlashtirilgan) bo‘lishi, u ishga tushirilganda sinovlarni o‘tkazishi mumkin. Xavfsizlik noto'g'ri konfiguratsiyasi yechimi - bu kodni standart parollar va yoki o'rnatilgan ishlab chiqish vositalari bilan chiqib ketishining oldini olish uchun post-commit ilgaklardir.
Umumiy web-xavfsizlik xatosi №6: Nozik ma'lumotlarga ta'sir qilish. Ushbu web-xavfsizlik zaifligi kripto va resurslarni himoya qilish bilan bog'liq. Nozik ma'lumotlar har doim, shu jumladan tranzit va dam olish vaqtida shifrlanishi kerak. Istisnolar yo'q. Kredit karta ma'lumotlari va foydalanuvchi parollari hech qachon sayohat qilmasligi yoki shifrlanmagan holda saqlanmasligi kerak va parollar doimo xeshlangan bo'lishi kerak. Shubhasiz, kripto/xesh algoritmi zaif bo'lmasligi kerak - shubha tug'ilsa, web-xavfsizlik standartlari AES (256 bit va undan yuqori) va RSA (2048 bit va undan yuqori) ni tavsiya qiladi. Va shuni aytish kerakki, seans identifikatorlari va maxfiy ma'lumotlar URL manzillarida harakatlanmasligi va maxfiy cookie-fayllar xavfsiz bayroqqa ega bo'lishi kerak, bu juda muhim va uni ortiqcha ta'kidlab bo'lmaydi.