Выбор ответа Middle OWASP Top 10 и API Top 10 обновлено
Insecure Design
Вопрос
Какой пример лучше всего иллюстрирует категорию Insecure Design?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Сброс пароля по «секретному вопросу»: даже идеальный код не сделает его безопасным. Insecure Design описывает ошибки в самой логике и архитектуре: если механизм небезопасен по замыслу, исправление кода не поможет, нужна другая схема.
Варианты ответа
- SQL-инъекция из-за конкатенации строки запроса в обработчике формы поиска
- Устаревшая версия библиотеки логирования с известной CVE и публичным эксплойтом
- Включённый режим отладки на проде, который отдаёт стектрейсы и переменные
- Сброс пароля по «секретному вопросу»: даже идеальный код не сделает его безопаснымправильный ответ
Разбор
Insecure Design описывает ошибки в самой логике и архитектуре: если механизм небезопасен по замыслу, исправление кода не поможет, нужна другая схема. Инъекция это ошибка реализации, устаревшая библиотека относится к уязвимым компонентам, отладка на проде к неправильной конфигурации.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.
Ещё по теме «OWASP Top 10 и API Top 10»
- Первое место OWASP Top 10
- BOLA в API
- Unrestricted Resource Consumption
- Зачем ASVS
- BFLA
- CWE и CVE
- OWASP API Top 10 2023
- Базовые принципы защиты