軟體安全性並非安全性軟體。我們關注驗證、Access Control、保密性、加密以及權限管理之類的主題。
...
HttpRequest req = new HttpRequest();
req.setEndpoint('http://example.com');
HTTPResponse res = new Http().send(req);
...
HttpResponse 物件 res 可能會遭到破解，因為它是透過未加密和未經驗證的通道傳遞。
var account = new CloudStorageAccount(storageCredentials, false);
...
String url = 'http://10.0.2.2:11005/v1/key';
Response response = await get(url, headers: headers);
...
response 安全性可能降低，因為它是透過未加密和未經驗證通道傳遞。
helloHandler := func(w http.ResponseWriter, req *http.Request) {
io.WriteString(w, "Hello, world!\n")
}
http.HandleFunc("/hello", helloHandler)
log.Fatal(http.ListenAndServe(":8080", nil))
URL url = new URL("http://www.android.com/");
HttpURLConnection urlConnection = (HttpURLConnection) url.openConnection();
try {
InputStream in = new BufferedInputStream(urlConnection.getInputStream());
readStream(in);
...
}
instream 安全性可能降低，因為它是透過未加密和未經驗證通道傳遞。
var http = require('http');
...
http.request(options, function(res){
...
});
...
http.IncomingMessage 物件 res 安全性可能降低，因為它是透過未加密和未經驗證通道傳遞。
NSString * const USER_URL = @"http://localhost:8080/igoat/user";
NSMutableURLRequest *request = [NSMutableURLRequest requestWithURL:[NSURL URLWithString:USER_URL]];
[[NSURLConnection alloc] initWithRequest:request delegate:self];
...
stream_socket_enable_crypto($fp, false);
...
require 'net/http'
conn = Net::HTTP.new(URI("http://www.website.com/"))
in = conn.get('/index.html')
...
in 安全性可能降低，因為它是透過未加密和未經驗證通道傳遞。
val url = Uri.from(scheme = "http", host = "192.0.2.16", port = 80, path = "/")
val responseFuture: Future[HttpResponse] = Http().singleRequest(HttpRequest(uri = url))
responseFuture安全性可能降低，因為它是透過未加密和未經驗證通道傳遞。
let USER_URL = "http://localhost:8080/igoat/user"
let request : NSMutableURLRequest = NSMutableURLRequest(URL:NSURL(string:USER_URL))
let conn : NSURLConnection = NSURLConnection(request:request, delegate:self)
Config.PreferServerCipherSuites 欄位用於控制伺服器是否遵循用戶端或伺服器的加密套件偏好設定。如果所選的加密套件具有已知弱點，則使用用戶端的偏好加密套件可能會帶來安全漏洞。PreferServerCipherSuites 欄位設定為 false。
conf := &tls.Config{
PreferServerCipherSuites: false,
}
client = SSHClient()
algorithms_to_disable = { "ciphers": untrusted_user_input }
client.connect(host, port, "user", "password", disabled_algorithms=algorithms_to_disable)
SSHClient.connect(...) 使用較弱的 3DES-CBC 演算法。
...
Using(SqlConnection DBconn = new SqlConnection("Data Source=210.10.20.10,1433; Initial Catalog=myDataBase;User ID=myUsername;Password=myPassword;"))
{
...
}
...
...
insecure_config = {
'user': username,
'password': retrievedPassword,
'host': databaseHost,
'port': "3306",
'ssl_disabled': True
}
mysql.connector.connect(**insecure_config)
...
NSURLSession、NSURLConnection 或 CFURL 時預設會啟用 App 傳輸安全性 (ATS)，從而會強制應用程式搭配使用 HTTPS 與 TLS 1.2 以用於與後端伺服器的所有網路通訊。Info.plist 中的以下項目會完全停用 App 傳輸安全性：範例 2：應用程式
<key>NSAppTransportSecurity</key>
<dict>
<!--Include to allow all connections (DANGER)-->
<key>NSAllowsArbitraryLoads</key>
<true/>
</dict>
Info.plist 中的以下項目將停用 yourserver.com 的 App 傳輸安全性：
<key>NSAppTransportSecurity</key>
<dict>
<key>NSExceptionDomains</key>
<dict>
<key>yourserver.com</key>
<dict>
<!--Include to allow subdomains-->
<key>NSIncludesSubdomains</key>
<true/>
<!--Allow plain HTTP requests-->
<key>NSTemporaryExceptionAllowsInsecureHTTPLoads</key>
<true/>
<!--Downgrades TLS version-->
<key>NSTemporaryExceptionMinimumTLSVersion</key>
<string>TLSv1.1</string>
</dict>
</dict>
</dict>
<a href="http://www.example.com/index.html"/>
www.example.com 來載入自己的網頁。
...
using var channel = GrpcChannel.ForAddress("https://grpcserver.com", new GrpcChannelOptions {
Credentials = ChannelCredentials.Insecure
});
...
...
ManagedChannel channel = Grpc.newChannelBuilder("hostname", InsecureChannelCredentials.create()).build();
...
None。使用不安全的通道認證所傳送的資料，都不能信任。root_certificates 參數的值將設為 None，private_key 參數的值將設為 None，以及 certificate_chain 參數的值將設為 None。
...
channel_creds = grpc.ssl_channel_credentials()
...
...
Server server = Grpc.newServerBuilderForPort(port, InsecureServerCredentials.create())
...
None 或 False。當認證設定不安全時，傳送到此伺服器或來自此伺服器的資料，都不能信任。
...
pk_cert_chain = your_organization.securelyGetPrivateKeyCertificateChainPairs()
server_creds = grpc.ssl_server_credentials(pk_cert_chain)
...
HSTS) 標頭，但無法將此保護套用至子網域，這可讓攻擊者透過執行 HTTPS 剝離攻擊，從子網域連線竊取敏感資訊。HSTS) 是一種安全性標頭，用於指示瀏覽器在 HSTS 標頭指定的期間內，始終連線到經由 SSL/TLS 傳回標頭的網站。經由 HTTP 與伺服器的任何連線都會自動取代為 HTTPS 連線，即使使用者在瀏覽器 URL 列中輸入 http:// 也一樣。
<http auto-config="true">
...
<headers>
...
<hsts include-sub-domains="false" />
</headers>
</http>
HSTS) 表頭，但無法將此保護套用至子網域，這使得攻擊者可透過執行 HTTPS 剝離攻擊，從子網域連線竊取敏感資訊。HSTS) 是一種安全性表頭，用於指示瀏覽器在 HSTS 表頭本身指定的期間內，永遠連線到經由 SSL/TLS 傳回 HSTS 表頭的網站。經由 HTTP 與伺服器的任何連線都將自動取代為 HTTPS 連線，即使使用者在瀏覽器 URL 列中輸入 http://，也是如此。HSTS) 標頭。這可讓攻擊者將 SSL/TLS 連線取代為單純 HTTP 連線，並透過執行 HTTPS 剝離攻擊來竊取敏感資訊。HSTS) 是一種安全性標頭，用於指示瀏覽器在 HSTS 標頭指定的期間內，始終連線到經由 SSL/TLS 傳回標頭的網站。經由 HTTP 與伺服器的任何連線都會自動取代為 HTTPS 連線，即使使用者在瀏覽器 URL 列中輸入 http:// 也一樣。
<http auto-config="true">
...
<headers>
...
<hsts disabled="true" />
</headers>
</http>
HSTS) 表頭，這使得攻擊者可透過執行 HTTPS 剝離攻擊，將 SSL/TLS 連線取代為單純 HTTP 連線並竊取敏感資訊。HSTS) 是一種安全性表頭，用於指示瀏覽器在 HSTS 表頭本身指定的期間內，永遠連線到經由 SSL/TLS 傳回 HSTS 表頭的網站。經由 HTTP 與伺服器的任何連線都將自動取代為 HTTPS 連線，即使使用者在瀏覽器 URL 列中輸入 http://，也是如此。HSTS) 表頭，這使得攻擊者可透過執行 HTTPS 剝離攻擊，將 SSL/TLS 連線取代為單純 HTTP 連線並竊取敏感資訊。HSTS) 是一種安全性表頭，用於指示瀏覽器在 HSTS 表頭本身指定的期間內，永遠連線到經由 SSL/TLS 傳回 HSTS 表頭的網站。經由 HTTP 與伺服器的任何連線都將自動取代為 HTTPS 連線，即使使用者在瀏覽器 URL 列中輸入 http://，也是如此。modp2 群組來初始化 Diffie-Hellman 金鑰交換通訊協定，其使用 1024 位元質數：
const dh = getDiffieHellman('modp2');
dh.generateKeys();
...
HSTS) 標頭。這可讓攻擊者將 HTTPS 連線取代為單純 HTTP 連線，並藉著執行 HTTPS 剝離攻擊而竊取敏感資訊。HSTS) 是一種安全性標頭，用於指示瀏覽器在 HSTS 標頭指定的期間內，始終連線到經由 SSL/TLS 傳回標頭的網站。經由 HTTP 與伺服器的任何連線都會自動取代為 HTTPS 連線，即使使用者在瀏覽器 URL 列中輸入 http:// 也一樣。
@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
...
http.headers(headers ->
headers.httpStrictTransportSecurity(hstsConfig ->
hstsConfig.maxAgeInSeconds(300)
)
);
...
}
HSTS) 表頭，這使得攻擊者可透過執行 HTTPS 剝離攻擊，將 HTTPS 連線取代為單純 HTTP 連線並竊取敏感資訊。HSTS) 是一種安全性表頭，用於指示瀏覽器在 HSTS 表頭本身指定的期間內，永遠連線到經由 SSL/TLS 傳回 HSTS 表頭的網站。經由 HTTP 與伺服器的任何連線都將自動取代為 HTTPS 連線，即使使用者在瀏覽器 URL 列中輸入 http://，也是如此。SmtpClient 的配置不正確，未使用 SSL/TLS 與 SMTP 伺服器進行通訊：
string to = "bob@acme.com";
string from = "alice@acme.com";
MailMessage message = new MailMessage(from, to);
message.Subject = "SMTP client.";
message.Body = @「您可以非常輕鬆地從應用程式傳送電子郵件訊息。」；
SmtpClient client = new SmtpClient("smtp.acme.com");
client.UseDefaultCredentials = true;
client.Send(message);
<bean id="mailSender" class="org.springframework.mail.javamail.JavaMailSenderImpl">
<property name="host" value="smtp.acme.com" />
<property name="port" value="25" />
<property name="javaMailProperties">
<props>
<prop key="mail.smtp.auth">true</prop>
</props>
</property>
</bean>
session = smtplib.SMTP(smtp_server, smtp_port)
session.ehlo()
session.login(username, password)
session.sendmail(frm, to, content)
device.createInsecureRfcommSocketToServiceRecord(MY_UUID);
...
var options = {
port: 443,
path: '/',
key : fs.readFileSync('my-server-key.pem'),
cert : fs.readFileSync('server-cert.pem'),
...
}
https.createServer(options);
...
secureProtocol 的預設值設定為 SSLv23_method，因此若沒有明確取代 secureProtocol，伺服器在本質上就不安全。
NSURLSessionConfiguration *configuration = [NSURLSessionConfiguration ephemeralSessionConfiguration];
[configuration setTLSMinimumSupportedProtocol = kSSLProtocol3];
NSURLSession *mySession = [NSURLSession sessionWithConfiguration:configuration delegate:self delegateQueue:operationQueue];
let configuration : NSURLSessionConfiguration = NSURLSessionConfiguration.defaultSessionConfiguration()
let mySession = NSURLSession(configuration: configuration, delegate: self, delegateQueue: operationQueue)