OWASP给出的物联网安全测试指导(翻译)
上一篇 /
下一篇 2017-08-01 17:06:09
/ 个人分类:物联网
类型 | 测试点 |
I1:不安全的web接口 | - 所有的web接口,有没有使用弱密码
- 账号的锁定机制
- XSS,SQLi和CSRF漏洞和其它web应用漏洞
- 使用HTTPS来保护信息传输
- 更改用户名和密码的能力
- web应用防火墙是否能保护web接口
|
I2:认证/授权的不足 | - 认证时使用强密码
- 多用户的环境下确保角色分配正确
- 执行时使用双因素验证
- 密码恢复机制
- 需要使用强密码
- 一段时间后需要加强密码
- 更改默认用户名和密码
|
I3:不安全的网络服务 | - 确保网络服务在缓冲区溢出、模糊攻击、拒绝服务攻击时没有泄露信息
- 确保正式环境中不出现测试端口
|
I4:不加密的传输 | - 在设备间、设备和网络间的通信使用加密手段
- 是否使用公认加密算法,避免使用专用协议
- 是否可以对防火墙进行设置
|
I5:隐私问题 | - 确定收集的个人信息的数量
- 收集的个人数据在闲置和流通时被加密保护
- 确保数据不被识别或是被隐藏
- 确保最终用户有选择权,系统是否可以收集用于操作设备的数据
|
I6:不安全的云接口 | - 云端接口是否有安全漏洞
- 确保基于云的网络接口不使用弱密码
- 确保基于云的网络接口有账号锁定机制
- 基于云的网络接口是否使用双因素验证
- 云端接口是否有XSS,SQLi和CSRF或其它漏洞
- 云端接口所有的传输都被加密
- 云端接口是否必须使用强密码
- 云端接口是否一段时间之后会加强密码
- 云端接口是否能改变默认用户名密码
|
I7:不安全的手机接口 | - 确保手机接口不允许使用弱密码
- 确保手机接口有账号锁定机制
- 是否实行双因素验证(如苹果的touchid)
- 传输时是否加密
- 是否需要使用强密码
- 是否一定时间之后会加强密码
- 是否可以更改默认的用户名和密码
- 确定收集的个人信息的数量
|
I8:安全配置不全面 | - 密码安全选项(例如:选择20位密码或选择双因素认证)是否可用
- 加密选项(例如:选择AES-256,默认AES-128)是否可用
- 安全事件记录是否可用
- 在出现安全状况时是否有通知或警告
|
I9:不安全的软件/防火墙 | - 确保有更新功能,当漏洞被修好可用迅速更新
- 确保更新文件被加密,文件传输过程也加密
- 确保使用了签名的文件,在安装文件前要验证签名
|
I10:糟糕的物理安全 | - 确保使用了最少的外部接口(如USB接口)
- 是否可用通过意外的方法接入,如一个多余的USB接口
- 是否允许禁用多余的物理接口,如USB
- 是否有仅将管理能力限制在本地接口的能力
|
通用的建议:
在所有的用户接口上考虑下面的建议(本地设备、云端和手机):
避免存在账号收割问题的方法:
确保多种类的用户账号不能通过接口错误信息区分
确保用户使用了强密码在3-5次账号登录失败后锁定账号
原文网址:https://www.owasp.org/index.php/IoT_Testing_Guides
收藏
举报
TAG: