华为技术有限公司内部技术规范模板.doc
《华为技术有限公司内部技术规范模板.doc》由会员分享,可在线阅读,更多相关《华为技术有限公司内部技术规范模板.doc(38页珍藏版)》请在咨信网上搜索。
1、DKBA华为技术内部技术规范DKBA 1606-XXXX.XWeb应用安全开发规范 V1.5XX月XX日公布 XX月XX日实施华为技术Huawei Technologies Co., Ltd.版权全部 侵权必究All rights reserved修订申明Revision declaration本规范拟制和解释部门:网络安全能力中心&电信软件和关键网网络安全工程部本规范相关系列规范或文件:C&C+语言安全编程规范Java语言安全编程规范相关国际规范或文件一致性:无替换或作废其它规范或文件:无相关规范或文件相互关系:产品网络安全红线和电信软件和关键网业务部安全能力基线中Web安全要求引用了本规范
2、内容,假如存在冲突,以本规范为准。规范号关键起草部门教授关键评审部门教授修订情况DKBA 1606-.4安全处理方案:赵武42873,杨光磊57125,万振华55108软件企业设计管理部:刘茂征11000,刘高峰63564,何伟祥33428安全处理方案:刘海军1,吴宇翔18167,吴海翔57182接入网:彭东红27279无线:胡涛46634关键网:吴桂彬 41508,甘嘉栋 33229,马进 32897,谢秀洪 33194,张毅 27651,张永锋 40582业软:包宜强56737,丁小龙63583,董鹏越60793,傅鉴杏36918,傅用成30333,龚连阳18753,胡海60017320,
3、胡海华52463,李诚37517,李大锋54630,李战杰21615,刘创文65632,刘飞46266,刘剑51690,栾阳62227,罗仁钧65560,罗湘武06277,马亮60009259,孟咏喜22499,潘海涛27360,孙林46580,王福40317,王锦亮36430,王美玲60011866,王谟磊65558,王玉龙24387,杨娟60019875,张锋43381,张健60005645,张轶57143,邹韬51591V1.0何伟祥33428刘高峰 63564,龚连阳 00129383,许汝波 62966,吴宇翔 00120395,王欢 00104062,吕晓雨 56987V1.2增加
4、了Web Service、Ajax和上传和下载相关安全规范。何伟祥00162822V1.3增加了预防会话固定和预防跨站请求伪造安全规范。何伟祥00162822V1.4增加了“规则3.4.1”实施指导;删除了“提议3.4.1”;修改了“6 配套CBB介绍”内容和获取方法。增加了“3.9 DWR”何伟祥 00162822吴淑荣 00197720魏建雄 00222906谢和坤 00197709李田 00042091孙波 00175839朱双红 00051429王伟 00207440陈伟 00141500V1.5增加“规则3.3.9、规则3.6.5、规则4.7.1、提议4.7.2、4.8 PHP”增加
5、“3.8 RESTful Web Service”修改“规则3.2.2.8、规则3.2.2.3、规则3.4.1、规则4.6.1”删除“3.2.1口令策略”和“规则3.1.3、规则3.2.3.8、规则4.7.1”附件文档作为对象直接插入主文档目 录 Table of Contents1概述71.1背景介绍71.2技术框架81.3使用对象91.4适用范围91.5用词约定92常见WEB安全漏洞103WEB设计安全规范113.1Web布署要求113.2身份验证123.2.1口令123.2.2认证123.2.3验证码153.3会话管理163.4权限管理173.5敏感数据保护183.5.1敏感数据定义18
6、3.5.2敏感数据存放183.5.3敏感数据传输203.6安全审计213.7Web Service223.8RESTful Web Service233.9DWR244WEB编程安全规范254.1输入校验254.2输出编码304.3上传下载304.4异常处理314.5代码注释314.6归档要求324.7其它334.8PHP345WEB安全配置规范366配套CBB介绍376.1WAF CBB376.2验证码CBB387附件387.1附件1 Tomcat配置SSL指导387.2附件2 Web Service 安全接入开发指导387.3附件3 用户端IP鉴权实施指导387.4附件4 口令安全要求38
7、7.5附件5 Web权限管理设计规格说明书39Web应用安全开发规范 V1.51 概述1.1 背景介绍在Internet大众化及Web技术飞速演变今天,Web安全所面临挑战日益严峻。黑客攻击技术越来越成熟和大众化,针对Web攻击和破坏不停增加,Web安全风险达成了前所未有高度。很多程序员不知道怎样开发安全应用程序,开发出来Web应用存在较多安全漏洞,这些安全漏洞一旦被黑客利用将造成严重甚至是灾难性后果。这并非危言耸听,类似网上事故举不胜举,企业Web产品也曾数次遭黑客攻击,甚至有黑客利用企业Web产品漏洞敲诈运行商,造成极其恶劣影响。本规范就是提供一套完善、系统化、实用Web安全开发方法供We
8、b研发人员使用,以期达成提升Web安全目标。本规范关键包含三大内容:Web设计安全、Web编程安全、Web配置安全,配套CBB,多管齐下,实现Web应用整体安全性;本规范关键以JSP/Java编程语言为例。1.2 技术框架图1 经典Web安全技术框架图1 显示了经典Web安全技术框架和安全技术点,这些安全技术点,贯穿整个Web设计开发过程。上图各个区域中存在任何一点微弱步骤,全部轻易造成安全漏洞。因为HTTP开放性,Web应用程序必需能够经过某种形式身份验证来识别用户,并确保身份验证过程是安全,一样必需很好地保护用于跟踪已验证用户会话处理机制。为了预防部分恶意输入,还要对输入数据和参数进行校验
9、。另外还要考虑Web系统安全配置,敏感数据保护和用户权限管理,和全部操作安全审计。当然还要考虑代码安全,和其它方面威胁。表 1 列出了部分Web缺点类别,并针对每类缺点列出了因为设计不妥可能会造成潜在问题。针对这些潜在问题,本规范中有对应处理方法。表1 Web 应用程序缺点和因为不良设计可能造成问题缺点类别因为不良设计可能造成问题身份验证身份伪造、口令破解、权限提升和未授权访问。会话管理经过捕捉造成会话劫持和会话伪造。权限管理访问机密或受限数据、篡改和实施未授权操作。配置管理未授权访问管理界面、更新配置数据、访问用户帐户和帐户配置文件。敏感数据机密信息泄漏和数据篡改。加密技术未授权访问机密数据
10、或帐户信息。安全审计未能识别入侵征兆、无法证实用户操作,和在问题诊疗中存在困难。输入检验经过嵌入查询字符串、窗体字段、Cookie 和 HTTP 标头中恶意字符串所实施攻击。包含命令实施、跨站点脚本编写 (XSS)、SQL 注入和缓冲区溢出攻击等。参数操作路径遍历攻击、命令实施、另外还有跳过访问控制机制、造成信息泄露、权限提升和拒绝服务。异常管理拒绝服务和敏感系统级具体信息泄露。1.3 使用对象本规范读者及使用对象关键为Web相关需求分析人员、设计人员、开发人员、测试人员等。1.4 适用范围本规范制订考虑了企业多种Web应用开发共性,适合于企业绝大部分Web产品,要求Web产品开发必需遵照。对
11、于嵌入式系统(如ADSL Modem、硬件防火墙)中Web应用,因为其特殊性(CPU、内存、磁盘容量有限,没有成熟Web容器),不强制遵照本规范全部内容,只需遵照以下章节规则要求:3.2身份验证3.3会话管理3.5敏感数据保护4.1输入校验4.2输出编码4.3上传下载4.5代码注释4.6归档要求1.5 用词约定 规则:强制必需遵守标准 提议:需要加以考虑标准 说明:对此规则或提议进行对应解释 实施指导:对此规则或提议实施进行对应指导2 常见Web安全漏洞Web应用安全漏洞有很多,无法穷举。针对众多Web漏洞,OWASP教授们结合各自在各领域应用安全工作经验及智慧,提出了十大Web应用程序安全漏
12、洞,帮助大家关注最严重漏洞。(OWASP即开放Web应用安全项目,是一个意在帮助大家了解和提升Web应用及服务安全性项目组织。)表2 十大Web应用程序安全漏洞列表序号漏洞名称漏洞描述1注入注入攻击漏洞,比如SQL、OS命令和LDAP注入。这些攻击发生在当不可信数据作为命令或查询语句一部分,被发送给解释器时候。攻击者发送恶意数据能够欺骗解释器,以实施计划外命令或访问未被授权数据。2跨站脚本当应用程序收到含有不可信数据,在没有进行合适验证和转义情况下,就将它发送给一个网页浏览器,这就会产生跨站脚本攻击(简称XSS)。XSS许可攻击者在受害者浏览器上实施脚本,从而劫持用户会话、危害网站、或将用户转
13、向至恶意网站。3失效身份认证和会话管理和身份认证和会话管理相关应用程序功效往往得不到正确实现,这就造成了攻击者破坏密码、密匙、会话令牌或攻击其它漏洞去冒充其它用户身份。4不安全直接对象引用当开发人员暴露一个对内部实现对象引用时,比如,一个文件、目录或数据库密匙,就会产生一个不安全直接对象引用。在没有访问控制检测或其它保护时,攻击者会操控这些引用去访问未授权数据。5跨站请求伪造一个跨站请求伪造攻击迫使登录用户浏览器将伪造HTTP请求,包含该用户会话cookie和其它认证信息,发送到一个存在漏洞Web应用程序。这就许可了攻击者迫使用户浏览器向存在漏洞应用程序发送请求,而这些请求会被应用程序认为是用
14、户正当请求。6安全配置错误好安全需要对应用程序、框架、应用程序服务器、Web服务器、数据库服务器和平台,定义和实施安全配置。因为很多设置默认值并不是安全,所以,必需定义、实施和维护全部这些设置。这包含了对全部软件保护立即地更新,包含全部应用程序库文件。7失败URL访问权限限制很多Web应用程序在显示受保护链接和按钮之前会检测URL访问权限。不过,当这些页面被访问时,应用程序也需要实施类似访问控制检测,不然攻击者将能够伪装这些URL去访问隐藏网页。8未经验证重定向和前转Web应用程序常常将用户重定向和前转到其它网页和网站,而且利用不可信数据去判定目标页面。假如没有得到合适验证,攻击者能够将受害用
15、户重定向到钓鱼网站或恶意网站,或使用前转去访问未经授权网页。9不安全加密存放很多Web应用程序并没有使用合适加密方法或Hash算法保护敏感数据,比如信用卡、社会安全号码(SSN)、认证凭据等。攻击者可能利用这种弱保护数据实施身份偷窃、信用卡欺骗或或其它犯罪。10传输层保护不足应用程序时常没有身份认证、加密方法,甚至没有保护敏感网络数据保密性和完整性。而当进行保护时,应用程序有时采取弱算法、使用过期或无效证书,或不正确地使用这些技术。3 Web设计安全规范3.1 Web布署要求规则3.1.1:假如 Web 应用对 Internet 开放,Web服务器应该置于DMZ区,在Web服务器和Intern
16、et之间,Web服务器和内网之间应该有防火墙隔离,并设置合理策略。规则3.1.2:假如 Web 应用对 Internet 开放,Web服务器应该布署在其专用服务器上,应避免将数据库服务器或其它关键应用和Web服务器布署在同一台主机上。说明:Web服务器比较轻易被攻击,假如数据库或关键应用和Web服务器布署在同一台主机,一旦Web服务器被攻陷,那么数据库和关键应用也就被攻击者掌控了。规则3.1.3:Web站点根目录必需安装在非系统卷中。说明:Web站点根目录安装在非系统卷,如单独创建一个目录/home/Web作为Web站点根目录,能够预防攻击者使用目录遍历攻击访问系统工具和可实施文件。提议3.1
17、.1:Web服务器和应用服务器需物理分离(即安装在不一样主机上),以提升应用安全性。提议3.1.2:假如Web应用系统存在不一样访问等级(如个人帐号使用、用户服务、管理),那么应该经过不一样Web服务器来处理来自不一样访问等级请求,而且Web应用应该判别请求是否来自正确Web服务器。说明:这么便于经过防火墙访问控制策略和Web应用来控制不一样访问等级访问,比如经过防火墙策略控制,只许可内网访问管理Portal。提议3.1.3:对于“用户服务”和“管理”类访问,除了一般认证,还应该增加额外访问限制。说明:额外访问限制,能够限制请求来自企业内网,能够建立VPN,或采取双向认证SSL;或采取更简单措
18、施,经过IP地址白名单对用户端IP地址进行过滤判定,实施参考附件3用户端IP鉴权实施指导。3.2 身份验证3.2.1 口令相关Web应用及容器包含到口令,请遵照产品网络安全红线口令安全要求(具体内容请见:附件4 口令安全要求.xlsx)。3.2.2 认证规则3.2.2.1:对用户最终认证处理过程必需放到应用服务器进行。说明:不许可仅仅经过脚本或其它形式在用户端进行验证,必需在应用服务器进行最终认证处理(假如采取集中认证,那么对用户最终认证就是放在集中认证服务器进行)。规则3.2.2.2:网页上登录/认证表单必需加入验证码。说明:使用验证码目标是为了阻止攻击者使用自动登录工具连续尝试登录,从而降
19、低被暴力破解可能。假如认为验证码影响用户体验,那么能够在前3次登录尝试中不使用验证码,3次登录失败后必需使用验证码。验证码在设计上必需要考虑到部分安全原因,以免能被轻易地破解。具体实现细节请查看Error! Reference source not found.Error! Reference source not found.。图:图2 验证码实施指导:提议使用电信软件和关键网网络安全工程部提供验证码CBB。备注:对于嵌入式系统,假如实现验证码比较困难,能够经过数次认证失败锁定用户端IP方法来预防暴力破解。规则3.2.2.3:用户名、密码和验证码必需在同一个请求中提交给服务器,必需先判定验证
20、码是否正确,只有当验证码检验经过后才进行用户名和密码检验,不然直接提醒验证码错误。说明:假如验证码和用户名、密码分开提交,攻击者就能够绕过验证码校验(如:先手工提交正确验证码,再经过程序暴力破解),验证码就形同虚设,攻击者仍然能够暴力破解用户名及口令。规则3.2.2.4:全部登录页面认证处理模块必需统一。说明:能够存在多个登录页面,不过不许可存在多个可用于处理登录认证请求模块,预防不一致认证方法。规则3.2.2.5:全部针对其它第三方开放接口认证处理模块必需统一。规则3.2.2.6:认证处理模块必需对提交参数进行正当性检验。说明:具体输入校验部分请查看4.1输入校验。规则3.2.2.7:认证失
21、败后,不能提醒给用户具体和明确错误原因,只能给出通常性提醒。说明:能够提醒:“用户名或口令错误,登录失败”;不能提醒:“用户名不存在”、“口令必需是 6 位”等等。规则3.2.2.8:最终用户portal和管理portal分离。说明:最终用户portal和管理portal分离,预防相互影响,预防来自用户面攻击影响管理面。实施指导:将最终用户portal和管理portal分别布署在不一样物理服务器;假如为了处理成本合设(布署在同一台物理服务器上),那么,必需做到端口分离(经过不一样端口提供Web服务),通常Web容器(如tomcat)支持为不一样Web应用创建不一样端口。规则3.2.2.9:严禁
22、在系统中预留任何后门帐号或特殊访问机制。规则3.2.2.10:对于关键管理事务或关键交易事务要进行重新认证,以防范会话劫持和跨站请求伪造给用户带来损失。说明:关键管理事务,比如重新开启业务模块;关键交易事务,比如转账、余额转移、充值等。重新认证,比如让用户重新输入口令。规则3.2.2.11:用户名和密码认证经过后,必需更换会话标识,以预防会话固定(session fixation)漏洞。实施指导:场景一:对于从HTTP转到HTTPS再转到HTTP(也就是仅在认证过程采取HTTPS,认证成功后又转到HTTP),在用户名和密码认证经过后增加以下行代码:request.getSession().in
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 华为技术 有限公司 内部 技术规范 模板
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【天****】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【天****】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。