Sicherheit von Anwendungen ist die Disziplin, Software so zu betreiben, dass Anmeldung, Sitzung und Datenhaltung Missbrauch widerstehen.
Sie umfasst die ganze Anwendung, die Menschen nutzen, etwa eine Bankwebsite, und nicht nur eine programmgesteuerte Schnittstelle daneben.
So funktioniert es
Die Entwicklung entscheidet, wie eine Sitzung bei der angemeldeten Kundin bleibt, wie Fehler gezeigt werden, ohne Geheimnisse zu verraten, und wie ein Formular mit Eingaben umgeht, die es nicht erwartet hat.
Der Betrieb beobachtet danach die laufende Bankseite auf Missbrauch derselben Wege.
Eine Lücke in der Anwendung kann einer Kundin die Auszüge einer anderen zeigen, auch wenn Netz und Bürotüren in Ordnung sind.
Die Behebung gehört zur Gestaltung und zum wöchentlichen Lauf des Dienstes und nicht zu einem einzelnen Kauf am Ende.
Konkrete Beispiele
- Eine Sitzung der Bankwebsite bleibt auf einem Gemeinschaftsrechner gültig, nachdem die Kundin nur das Tab geschlossen hat, und die nächste Person sieht den Stand.
- Eine Fehlerseite eines Kreditantrags druckt interne Einzelheiten, die zeigen, wie die Anwendung Anträge speichert.
- Ein Auszugsdownload nimmt eine Kennung an, die einer anderen Kundin gehört, und liefert deren Datei aus.
Schutzmaßnahmen
- Beenden Sie die Sitzung, wenn sich die Kundin abmeldet, und beenden Sie sie auch nach einer Ruhezeit auf einem Gemeinschaftsrechner.
- Zeigen Sie Kundinnen einen schlichten Fehler und halten Sie interne Einzelheiten in einem Protokoll, das nur das Betriebsteam lesen kann.
- Prüfen Sie auf dem Server, dass die angemeldete Kundin den konkreten Auszug öffnen darf, der angefordert wird.
- Prüfen Sie neue Bankfunktionen vor der Auslieferung auf diese Fehler und erneut, wenn eine Korrektur Anmeldung oder Downloads berührt.