移动应用OWASP-Top-10
需积分: 9 118 浏览量
2017-12-01
15:26:06
上传
评论
收藏 23KB DOCX 举报
附录一 OWASP Mobile TOP 10
[1]. 平台使用不当
包括平台功能的滥用，或未能使用平台的安全控制。它可能包括 Android 的
意图（ intent）、 平台权限、 TouchID 的误用、 密钥链 （ KeyChain）、或是移动
操作系统中的其他一些安全控制。有几种方式使移动应 用程序能受到这类风险。
这类风险的影响很难形容。移动平台提供许多不同的服务，从身份验证，到
安全的数据存储，再到安全的网络通信。没有正确地使用平台的一些部分，因此，
可能造成数据暴露、允许连接到不受信的主机、或实现欺诈付款。移动应用程序
的隐私和权限也是平台的领域。因此，未能恰当使用平台的功能，可能会使最终
用户暴露隐私
[2]. 不安全的数据存储
这个类别包括不安全的数据存储和非故意的数据泄漏。
可能会导致数据丢失，最好的情况是只丢失一个用户的数据，而最坏的情况
是丢失许多用户的数据。它也可能导致以下技术影响：通过移动设备中所含的恶
意软件、被篡改的应用程序或调查分析工具，提取应用程序中的敏感信息。 对业
务影响的性质，高度依赖于被盗信息的性质。不安全的数据可能会导致以下业务
影响：
身份信息被盗；
隐私泄露；
诈骗；
名誉受损；
违反外部的政策要求（如：PCI）；
材料丢失
[3]. 不安全的通信
这个类别包括不健全的握手通信过程、 SSL 版本的不正确使用、脆弱协议、
敏感信息的明文传输，等等。
不安全的通信的一般风险有关于数据的完整性、数据的保密性和数据来源的
资源评论
