2 Confidential InformationConfident

2 Confidential Information
Confidential data should be readable only within a limited context. Data that is to be trusted should not be exposed to tampering. Privileged code should not be executable through intended interfaces.

Guideline 2-1 / CONFIDENTIAL-1: Purge sensitive information from exceptions
Exception objects may convey sensitive information. For example, if a method calls the java.io.FileInputStream constructor to read an underlying configuration file and that file is not present, a java.io.FileNotFoundException containing the file path is thrown. Propagating this exception back to the method caller exposes the layout of the file system. Many forms of attack require knowing or guessing locations of files.

Exposing a file path containing the current user's name or home directory exacerbates the problem. SecurityManager checks guard this information when it is included in standard system properties (such as user.home) and revealing it in exception messages effectively allows these checks to be bypassed.

Internal exceptions should be caught and sanitized before propagating them to upstream callers. The type of an exception may reveal sensitive information, even if the message has been removed. For instance, FileNotFoundException reveals whether or not a given file exists.

It is sometimes also necessary to sanitize exceptions containing information derived from caller inputs. For example, exceptions related to file access could disclose whether a file exists. An attacker may be able gather useful information by providing various file names as input and analyzing the resulting exceptions.

Be careful when depending on an exception for security because its contents may change in the future. Suppose a previous version of a library did not include a potentially sensitive piece of information in the exception, and an existing client relied upon that for security. For example, a library may throw an exception without a message. An application programmer may look at this behavior and decide that it is okay to propagate the exception. However, a later version of the library may add extra debugging information to the exception message. The application exposes this additional information, even though the application code itself may not have changed. Only include known, acceptable information from an exception rather than filtering out some elements of the exception.

Exceptions may also include sensitive information about the configuration and internals of the system. Do not pass exception information to end users unless one knows exactly what it contains. For example, do not include exception stack traces inside HTML comments.

Guideline 2-2 / CONFIDENTIAL-2: Do not log highly sensitive information
Some information, such as Social Security numbers (SSNs) and passwords, is highly sensitive. This information should not be kept for longer than necessary nor where it may be seen, even by administrators. For instance, it should not be sent to log files and its presence should not be detectable through searches. Some transient data may be kept in mutable data structures, such as char arrays, and cleared immediately after use. Clearing data structures has reduced effectiveness on typical Java runtime systems as objects are moved in memory transparently to the programmer.

This guideline also has implications for implementation and use of lower-level libraries that do not have semantic knowledge of the data they are dealing with. As an example, a low-level string parsing library may log the text it works on. An application may parse an SSN with the library. This creates a situation where the SSNs are available to administrators with access to the log files.

Guideline 2-3 / CONFIDENTIAL-3: Consider purging highly sensitive from memory after use
To narrow the window when highly sensitive information may appear in core dumps, debugging, and confidentiality attacks, it may be appropriate to zero memory containing the data immediately after use rather than waiting for the garbage collection mechanism.

However, doing so does have negative consequences. Code quality will be compromised with extra complications and mutable data structures. Libraries may make copies, leaving the data in memory anyway. The operation of the virtual machine and operating system may leave copies of the data in memory or even on disk.

ผลลัพธ์ (ไทย) 1:

ข้อมูลลับเฉพาะ 2ข้อมูลที่เป็นความลับควรจะอ่านได้เฉพาะภายในบริบทที่จำกัด ข้อมูลที่ถูกต้องน่าเชื่อถือควรไม่ถูกแทรกแซง รหัสอภิสิทธิ์ไม่ควรจะกระทำผ่านทางอินเทอร์เฟซที่กำหนดผลงานลับ-1 / 2-1: กำจัดข้อมูลที่สำคัญจากข้อยกเว้นข้อยกเว้นวัตถุอาจถ่ายทอดข้อมูลที่สำคัญ ตัวอย่าง วิธีเรียกตัวสร้าง java.io.FileInputStream เพื่ออ่านแฟ้มการกำหนดค่าพื้นฐาน และแฟ้มนั้นไม่มี java.io.FileNotFoundException ประกอบด้วยเส้นทางของแฟ้มคือโยน เผยแพร่ข้อยกเว้นนี้กลับไปยังผู้เรียกวิธีแสดงเค้าโครงของระบบแฟ้ม หลายรูปแบบของการโจมตีต้องทราบ หรือคาดเดาตำแหน่งที่ตั้งของแฟ้มเปิดเผยเส้นทางแฟ้มที่ประกอบด้วยชื่อของผู้ใช้ปัจจุบันหรือโฮมไดเรกทอรี exacerbates ปัญหา เช็ค SecurityManager รักษาข้อมูลนี้จะอยู่ในคุณสมบัติของระบบมาตรฐาน (เช่น user.home) และเปิดเผยว่า ในข้อยกเว้นข้อความได้อย่างมีประสิทธิภาพช่วยให้การตรวจสอบเหล่านี้จะถูกข้ามข้อยกเว้นภายในควรถูกจับ และถูกสุขอนามัยก่อนเผยแพร่ให้กับผู้เรียกขั้นต้นน้ำ ชนิดของข้อยกเว้นอาจเปิดเผยข้อมูลสำคัญ แม้ว่าข้อความที่ถูกเอาออก เช่น FileNotFoundException พบว่า มีไฟล์ที่กำหนดหรือไม่บางครั้งยังจำเป็นต้อง sanitize ข้อยกเว้นที่ประกอบด้วยข้อมูลที่ได้รับมาจากอินพุตโทร ตัวอย่าง ข้อยกเว้นที่เกี่ยวข้องกับการเข้าถึงแฟ้มไม่สามารถเปิดเผยว่า มีแฟ้มอยู่ ผู้โจมตีอาจจะสามารถรวบรวมข้อมูลที่เป็นประโยชน์ให้หลากหลายไฟล์ชื่อเป็นอินพุท และวิเคราะห์ข้อยกเว้นได้ต้องระวังเมื่อขึ้นอยู่กับข้อยกเว้นสำหรับความปลอดภัย เพราะเนื้อหาอาจเปลี่ยนแปลงได้ในอนาคต สมมติว่า รุ่นของไลบรารีไม่มีชิ้นส่วนอาจมีความสำคัญของข้อมูลในข้อยกเว้น และไคลเอนต์อยู่อาศัยตามที่เพื่อความปลอดภัย ตัวอย่าง รีอาจโยนข้อยกเว้น โดยไม่มีข้อความ โปรแกรมเมอร์แอพลิเคชันที่อาจดูลักษณะการทำงาน และตัดสินใจว่า ก็ไม่เป็นไรจะแพร่กระจายข้อยกเว้น อย่างไรก็ตาม รุ่นที่ใหม่กว่าของไลบรารีอาจเพิ่มข้อมูลเสริมดีบักข้อยกเว้น แอพลิเคชันแสดงข้อมูลเพิ่มเติม แม้ว่าไม่ได้เปลี่ยนรหัสแอพลิเคชันเอง รวมชื่อดัง ยอมรับรายละเอียดจากข้อยกเว้นมากกว่าการกรององค์ประกอบบางอย่างของข้อยกเว้นข้อยกเว้นอาจรวมข้อมูลที่สำคัญเกี่ยวกับการกำหนดค่าและ internals ของระบบด้วย ส่งข้อมูลข้อยกเว้นผู้ใช้ยกเว้นว่าใครรู้อะไรที่มันประกอบด้วย ตัวอย่าง มีร่องรอยกองยกเว้นภายใน HTML ข้อคิดเห็นผลงาน 2-2 / 2 ลับ: เข้าสู่ระบบข้อมูลที่มีความไวสูงข้อมูล หมายเลขประกันสังคม (SSNs) และรหัสผ่าน มีความไวสูง ไม่ควรเก็บข้อมูลนานเกินความจำเป็นหรือ ไม่ที่มันอาจจะ เห็น โดยผู้ดูแลระบบ ตัวอย่าง ไม่ควรถูกส่งเข้าสู่ระบบแฟ้ม และสถานะของตนไม่ควรสามารถตรวจสอบได้ โดยค้นหา ข้อมูลบางอย่างชั่วคราวอาจจะเก็บไว้ในโครงสร้างข้อมูล mutable เช่นอาร์เรย์ของอักขระ และล้างทันทีหลังจากใช้ ล้างโครงสร้างข้อมูลมีลดประสิทธิภาพในระบบรันไทม์ Java ทั่วไปเป็นวัตถุถูกย้ายในหน่วยความจำโปร่งใสกับผู้เขียนโปรแกรมผลงานนี้ยังมีผลดำเนินงานและใช้ไลบรารีระดับล่างที่ไม่มีความรู้ความหมายของข้อมูลที่พวกเขากำลังเผชิญกับ เป็นตัวอย่าง สายล่างแยกไลบรารีอาจบันทึกข้อความที่ทำงานบน โปรแกรมประยุกต์อาจแยกการ SSN ด้วยไลบรารี นี้สร้างสถานการณ์ที่ SSNs มีผู้ดูแลระบบ มีการเข้าถึงแฟ้มบันทึกผลงาน 2-3 / 3 ลับ: พิจารณาการล้างมีความสำคัญสูงจากหน่วยความจำหลังจากใช้เพื่อให้แคบลงหน้าต่างเมื่อข้อมูลมีความไวสูงอาจปรากฏอยู่ในหลักทิ้ง ดีบัก และความลับโจมตี มันอาจเหมาะสมกับศูนย์หน่วยความจำประกอบด้วยข้อมูลทันทีหลังใช้ แทนที่รอให้กลไกชุดเก็บรวบรวมขยะอย่างไรก็ตาม ทำให้ได้ผลลบ รหัสคุณภาพจะไม่สมบูรณ์ ด้วยภาวะแทรกซ้อนเพิ่มเติมและโครงสร้างข้อมูล mutable ไลบรารีอาจทำสำเนา การออกจากข้อมูลในหน่วยความจำ การทำงานของเครื่องเสมือนและระบบปฏิบัติอาจทำให้สำเนาของข้อมูล ในหน่วยความจำ หรือแม้แต่ บนดิสก์

ผลลัพธ์ (ไทย) 3:

2 ข้อมูลที่เป็นความลับ
ข้อมูลที่เป็นความลับควรจะสามารถอ่านได้เฉพาะในบริบทจำกัด ข้อมูลที่เชื่อถือได้ไม่ควรจะถูกแก้ไขดัดแปลง . รหัสสิทธิพิเศษไม่ควรปฏิบัติการผ่านอินเทอร์เฟซไว้

แนว 2-1 / confidential-1 : กำจัดข้อมูลที่สำคัญจากข้อยกเว้น
ข้อยกเว้นวัตถุอาจถ่ายทอดข้อมูลที่สําคัญ ตัวอย่างเช่น ถ้าวิธีที่เรียกวาio.fileinputstream คอนสตรัคอ่านแฟ้มการปรับแต่งค่าพื้นฐานและไฟล์ไม่ปัจจุบัน java.io.filenotfoundexception ที่มีเส้นทางของไฟล์คือโยน ข้อยกเว้นนี้กลับไปเผยแพร่วิธีการโทรตีแผ่รูปแบบของไฟล์ระบบ หลายรูปแบบของการโจมตีต้องรู้หรือคาดเดาตำแหน่งของไฟล์ .

เปิดเผยเส้นทางแฟ้มที่มีชื่อของผู้ใช้ปัจจุบันหรือไดเรกทอรีบ้าน exacerbates ปัญหา securitymanager ตรวจสอบยาม ข้อมูลนี้เมื่อมันถูกรวมอยู่ในคุณสมบัติของระบบมาตรฐาน ( เช่นบ้านผู้ใช้ ) และเปิดเผยในข้อความได้อย่างมีประสิทธิภาพช่วยให้ตรวจสอบข้อยกเว้นเหล่านี้จะผ่าน

ภายในข้อยกเว้นควรถูกจับและฆ่าเชื้อก่อนเผยแพร่ให้ต้นสาย .ประเภทของข้อยกเว้นที่อาจเปิดเผยข้อมูลที่มีความละเอียดอ่อน ถ้าข้อความได้ถูกลบออก ตัวอย่าง filenotfoundexception เผยหรือไม่ไฟล์ให้อยู่แล้ว

บางครั้งมันก็จำเป็น เพื่อ sanitize ข้อยกเว้นที่ประกอบด้วยข้อมูลที่ได้มาจากค่าโทร ตัวอย่างเช่น ข้อยกเว้นที่เกี่ยวข้องกับการเข้าถึงไฟล์สามารถเปิดเผยว่าแฟ้มมีอยู่ผู้โจมตีอาจจะสามารถรวบรวมข้อมูลที่เป็นประโยชน์โดยการให้ชื่อไฟล์ต่าง ๆ เป็นข้อมูล และการวิเคราะห์ผลข้อยกเว้น

ระวังเมื่อขึ้นอยู่กับข้อยกเว้นเพื่อความปลอดภัย เพราะเนื้อหาของมันอาจเปลี่ยนแปลงในอนาคต คิดว่าเป็นรุ่นก่อนหน้าของห้องสมุด ไม่ได้รวมถึงชิ้นสำคัญของข้อมูลที่อาจเป็นข้อยกเว้นและ ลูกค้าที่มีอยู่อาศัยที่นั่นเพื่อความปลอดภัย ตัวอย่างเช่นห้องสมุดอาจจะโยนข้อยกเว้น โดยไม่มีข้อความ โปรแกรม โปรแกรมเมอร์อาจจะดูพฤติกรรมนี้และตัดสินใจว่ามันเป็นตกลงที่จะเผยแพร่เป็นข้อยกเว้น อย่างไรก็ตาม รุ่นที่ใหม่กว่าของห้องสมุดอาจเพิ่มแก้ไขข้อมูลข้อยกเว้นข้อความ การเปิดเผยข้อมูลเพิ่มเติมนี้แม้ว่ารหัสใบสมัครเอง อาจไม่ต้องเปลี่ยน รวมเรียกว่า ข้อมูลได้จากข้อยกเว้นมากกว่ากรององค์ประกอบบางอย่างของข้อยกเว้น ข้อยกเว้น

ยังอาจรวมถึงข้อมูลที่สําคัญเกี่ยวกับการตั้งค่าและ internals ของระบบ ไม่ส่งข้อมูล ยกเว้นผู้ใช้ถ้าไม่มีใครรู้ว่าสิ่งที่มันมี ตัวอย่างเช่นไม่รวมกองยกเว้นร่องรอยภายในความคิดเห็น HTML

แนว 2-2 / confidential-2 : ไม่ได้บันทึกข้อมูลความไวสูง
บางข้อมูลเช่นหมายเลขประกันสังคม ( ssns ) และรหัสผ่าน มีความไวสูง ข้อมูลนี้ไม่ควรจะเก็บไว้ได้นานกว่าที่จำเป็นหรือที่อาจเห็นได้แม้โดยผู้บริหาร สำหรับอินสแตนซ์มันไม่ควรถูกส่งเข้าสู่ระบบแฟ้ม และตนไม่ควรตรวจพบได้ผ่านการค้นหา ข้อมูลชั่วคราวบางส่วนอาจถูกเก็บไว้ในโครงสร้างข้อมูลไม่แน่นอน เช่นอาร์เรย์ถ่านและล้างทันทีหลังจากใช้ การล้างข้อมูลบนโครงสร้างลดลง ประสิทธิภาพทั่วไป Java Runtime ระบบเป็นวัตถุจะย้ายในความโปร่งใสให้โปรแกรมเมอร์ .

แนวทางนี้ยังมีผลกระทบต่อการดำเนินงานและการใช้ลดระดับห้องสมุดที่ไม่ได้มีความรู้ความหมายของข้อมูลที่พวกเขาจะจัดการกับ เป็นตัวอย่าง ระดับสายแยกห้องสมุดอาจบันทึกข้อความมันทำงานบน โปรแกรมอาจแยกเป็น SSN กับห้องสมุด นี้จะสร้างสถานการณ์ที่ ssns พร้อมผู้บริหาร ด้วยการเข้าถึงแฟ้มบันทึก .

แนวทาง 2-3 / confidential-3 : พิจารณาการกำจัดความไวสูงจากหน่วยความจำหลังจากใช้
แคบหน้าต่างเมื่อข้อมูลความไวสูงอาจปรากฏในทิ้งหลักการดีบัก และการโจมตีที่เป็นความลับ มันอาจจะเหมาะกับศูนย์หน่วยความจำที่มีข้อมูลทันทีหลังจากใช้ แทนที่จะรอให้กลไกการเก็บขยะ

แต่ทำแล้วมี ผลกระทบเชิงลบคุณภาพของรหัสจะถูกละเมิดที่มีภาวะแทรกซ้อนและโครงสร้างข้อมูลไม่แน่นอนเสริม ห้องสมุดอาจทำสำเนาออกจากข้อมูลในหน่วยความจำแล้ว การทำงานของเครื่องเสมือนและระบบปฏิบัติการอาจปล่อยสำเนาของข้อมูลในหน่วยความจำ หรือแม้แต่บนดิสก์