OWASP ASVS: standard pro ověření bezpečnosti aplikace

Verze 5.0.0 obsahuje zhruba 350 jednotlivých požadavků rozdělených do sedmnácti tematických kapitol podle oblasti, které se týkají. Každý požadavek je psaný jako ověřitelné tvrzení o aplikaci, takže na něj lze odpovědět splněno, nesplněno, nebo netýká se.

Kapitoly pokrývají autentizaci, správu relací, autorizaci, ověřování vstupů, kryptografii, práci s daty, logování, konfiguraci a další oblasti. Právě tvar ověřitelného tvrzení odlišuje ASVS od přehledů rizik: požadavek se dá vzít a použít jako položka v akceptačním kritériu.

Úrovně jsou tři a liší se tím, kolik požadavků aplikace musí splnit. Úroveň 1 pokrývá zhruba pětinu požadavků a standard ji popisuje jako minimum, se kterým má smysl začít. Úroveň 2 přidává další zhruba polovinu a je to úroveň, o kterou má podle standardu usilovat většina aplikací. Úroveň 3 je zbytek a míří na aplikace, které chtějí doložit nejvyšší míru zabezpečení.

Pro drtivou většinu firemních aplikací je správnou volbou úroveň 2. Úroveň 1 se hodí jako první krok u aplikace, o které zatím nic nevíte, úroveň 3 se vyplatí až tam, kde je selhání nevratné. Samotný standard úroveň nepředepisuje a nechává ji na analýze rizik: jako příklad uvádí ranou fázi startupu s omezeným množstvím citlivých dat u úrovně 1 a banku, která podle něj těžko obhájí méně než úroveň 3. Výběr úrovně je rozhodnutí o rozpočtu i o rozsahu, protože každá úroveň přidává požadavky, ne jen přísnost.

Postup má tři kroky: zvolí se úroveň, vyřadí se požadavky, které se na aplikaci nevztahují, a ze zbytku vznikne seznam toho, co se má ověřit. Ten seznam je zároveň osnovou reportu, protože u každého požadavku je na konci uvedený výsledek.

Výhoda proti volnému zadání je v tom, že rozsah je dohodnutý předem a písemně. Nedohaduje se po testu, jestli něco mělo být součástí. Zvolená úroveň jako vstup do zadání testu proto šetří čas na obou stranách.

ASVS je jediný z dokumentů OWASP, který se dá vložit přímo do smlouvy, protože jeho požadavky jsou psané jako ověřitelná tvrzení. Místo věty „aplikace bude bezpečná“ se do přílohy uvede zvolená úroveň a seznam požadavků, které má dodavatel splnit.

Rozdíl je vidět při přejímce. U obecné formulace se spor vede o výklad, u konkrétního požadavku se ověří splnění. Dobré je doplnit dvě věci: kdo splnění ověřuje a co se stane, když se nesplnění najde až po předání. Bez toho zůstane příloha nevymahatelná.

Tři dokumenty OWASP odpovídají na tři různé otázky a v praxi se používají společně. Top 10 říká, čeho se bát, ASVS říká, co má platit, a WSTG říká, jak to ověřit. Žádný z nich nenahrazuje zbylé dva.

Kdo začíná od nuly, projde nejdřív přehled deseti kategorií rizik, pak zvolí úroveň ASVS a teprve podle ní se rozhodne o rozsahu podle testovací příručky WSTG. Opačné pořadí vede k testu, u kterého nikdo neumí říct, proti čemu se vlastně měřil.