建立伺服器信任認證之前，NSURLConnection 物件、NSURLSession 物件或 NSURLDownload 物件的委派負責評估信任鏈。

範例 1：以下程式碼使用非評估的伺服器信任初始化 NSURLCredential：

-(void)URLSession:(NSURLSession *)session didReceiveChallenge:(NSURLAuthenticationChallenge *)challenge completionHandler:(void (^)(NSURLSessionAuthChallengeDisposition disposition, NSURLCredential * credential)) completionHandler {
        ...
        [challenge.sender useCredential:[NSURLCredential credentialForTrust: challenge.protectionSpace.serverTrust] forAuthenticationChallenge:challenge];
        ...
}

建立伺服器信任認證之前，NSURLConnection 物件、NSURLSession 物件或 NSURLDownload 物件的委派負責評估伺服器信任。若要評估伺服器信任，應使用從伺服器的 NSURLProtectionSpace 物件之 serverTrust 方法取得的信任呼叫 SecTrustEvaluate(_:_:) 方法。

SecTrustEvaluate(_:_:) 方法傳回兩個不同的值：

- 傳回的 OSStatus 值代表結果代碼。
- 第二個引數指向的物件代表評估的結果類型。

如果該信任無效，應使用 cancel(_:) 取消驗證挑戰。

範例 1：在以下範例中，會評估伺服器信任，但會不檢查此評估的結果即使用所接收的認證：

SecTrustRef trust = [[challenge protectionSpace] serverTrust];
SecTrustResultType result = kSecTrustResultInvalid;
OSStatus status = SecTrustEvaluate(trust, &result);
completionHandler(NSURLSessionAuthChallengeUseCredential, [challenge proposedCredential]);

NSURLProtectionSpace 物件可代表需要驗證的伺服器或伺服器上的區域 (通常稱為領域)。
建立需要驗證保護空間的 URL 連線時，將在呼叫應執行驗證的 NSURLConnectionDelegate.connection(_:didReceive:) 方法之前呼叫 NSURLConnectionDelegate.connection(_:canAuthenticateAgainstProtectionSpace:) 方法。這允許 NSURLConnectionDelegate 先檢查保護空間，然後再嘗試進行驗證。透過傳回 true，委派表示其可處理驗證表單 (將在後續呼叫 connection(_:didReceive:) 時執行)。如果您的委派未執行此方法，而保護空間使用用戶端憑證驗證或伺服器信任驗證，則系統將嘗試使用使用者的金鑰鏈來驗證哪些可能不是想要的運作方式。

應用程式會執行 NSURLConnection 或 NSURLSession 回呼來處理驗證要求。忘記確保驗證要求來自預期的主機，將導致認證傳送至應用程式載入的每個 URL。此外，未能檢查認證是否能安全傳送將導致認證遭竊取。

範例 1：以下應用程式會將使用者認證傳送至要求驗證的任何主機：

- (void)URLSession:(NSURLSession *)session didReceiveChallenge:(NS URLAuthenticationChallenge *)challenge completionHandler:(void (^)(NS URLSessionAuthChallengeDisposition, NSURLCredential *))completionHandler { 
    NSString *user = [self getUser]; 
    NSString *pass = [self getPassword]; 

    NSURLCredential *cred = [NSURLCredential credentialWithUser:user 
    password:pass persistence:NSURLCredentialPersistenceForSession]; 
    completionHandler(NSURLSessionAuthChallengeUseCredential, credential);
} 

tx.origin 全域變數會保存發起交易的帳戶位址。

如果智慧合約 S1 從帳戶 A1 接收交易，然後 S1 呼叫另一個智慧合約 S2，則在 S2 內部，tx.origin 會包含帳戶 A1 的位址，以用於呼叫 S1。如果 tx.origin 的意圖是驗證 A1 的授權，則此授權會被略過。

現在，如果攻擊者可以誘騙使用者將交易傳送到惡意合約中，以供其叫用易受攻擊的合約，其中使用者透過 tx.origin 獲得授權，則 tx.origin 將保存發起交易的使用者帳戶的位址，而授權將被略過。

範例 1：以下程式碼要求合約擁有者 (先前設定於建構函數中) 須與 tx.origin 相同，然後才能將資金轉移到提供的位址。

如果攻擊者能誘騙合約擁有者傳送交易到惡意合約，該惡意合約會立即呼叫易受攻擊的合約中的 sendTo 函數，此時 require 陳述式中的條件將為 true，並且資金會被轉移到攻擊者合約在呼叫 sendTo 時指定的任何位址。

function sendTo(address receiver, uint amount) public {
    require(tx.origin == owner);
    receiver.transfer(amount);
}

寬鬆的存取組態會將系統不必要地暴露在外，並擴大組織的受攻擊面。開放與公眾互動的服務通常會受到惡意實體近乎連續的掃描和探測。

在發現並發佈針對公開服務的零時差攻擊 (例如 Heartbleed) 時問題特別大。攻擊者可主動追蹤和搜尋未修補和暴露的系統以進行攻擊。

範例 1：以下 Ansible 工作將定義一個對外 (0.0.0.0/0 ) (即 TCP 連接埠 22) 開放的 AWS 安全性群組，其中 SSH 伺服器通常回應傳入的連線要求。

- name: Task to open SSH port
  amazon.aws.ec2_group:
    name: demo_security_group
    description: Open the ssh port to the world
    state: present
    vpc_id: 123456
    region: us-west-1
    rules:
    - proto: tcp
        ports: 22
        cidr_ip: 0.0.0.0/0

lambda 主體的萬用字元組態違反最小特權原則，允許攻擊者從任何帳戶叫用 lambda。

範例 1：以下範例 Ansible 工作將定義一個萬用字元 lambda 主體。

- name: Create Lambda policy statement for S3 event notification
  community.aws.lambda_policy:
    action: lambda:InvokeFunction
    function_name: functionName
    principal: *
    statement_id: lambda-s3-demobucket-access-log
    source_arn: arn:aws:s3:us-west-2:123456789012:demobucket
    source_account: 123456789012
    state: present