Bảo vệ điều gì?

Một câu hỏi trước mọi công cụ

Câu lạc bộ kỹ thuật có một ứng dụng chia sẻ tài liệu. Nội quy được công khai; bản nháp kế hoạch chỉ dành cho nhóm phụ trách; mỗi thành viên có ghi chú riêng. Câu hỏi đầu tiên là: điều gì cần được bảo vệ, khỏi hành vi nào và để phục vụ ai?

Tài sản (asset) là thứ có giá trị trong bối cảnh đang xét. Ở đây, ngoài nội dung tài liệu còn có tài khoản, khả năng nộp bài đúng hạn và độ tin cậy của quyết định phân quyền. Một sơ đồ chỉ có tên máy chủ chưa cho biết những giá trị này.

Phạm vi của mô hình

Trong tuyến học này, hệ thống câu lạc bộ là ví dụ tự xây dựng. Nó không mô tả hạ tầng PTIT hoặc một dịch vụ thật. Ta dùng mô hình nhỏ để tập lập luận; các giả định phải được nêu rõ.

Phạm vi được phép

Bài tập ở đây chỉ dùng dữ liệu tự tạo. Có một tài khoản hoặc đọc được một trang không tự là lời cho phép kiểm thử mọi chức năng. Khi thực hành sau này, cần biết hệ thống, người cho phép, thao tác và giới hạn được đồng ý; nếu chưa rõ thì không tự mở rộng phạm vi.

Ba mục tiêu, ba loại hậu quả

C–I–A là ba góc nhìn, không phải ba ngăn kín. Một hành vi xóa tài liệu trái phép có thể đồng thời ảnh hưởng toàn vẹn và sẵn sàng. Chưa biết tài liệu dùng để làm gì thì chưa thể kết luận tác động nào quan trọng nhất.

Ví dụ đã giải: nội quy vốn được phép công khai. Một khách đọc nội quy không tự động là sự cố bí mật. Nhưng nếu khách sửa được nội quy và ứng dụng hiển thị bản sửa như bản chính thức, vấn đề cần xem là quyền sửa và tính toàn vẹn. Mục tiêu bảo vệ phải dựa trên chính sách dự định, không chỉ dựa trên việc có đăng nhập hay chưa.

Nhìn theo luồng và ranh giới

1. Thành viên: Muốn đọc một tài liệu.
2. Trình duyệt: Gửi yêu cầu tới ứng dụng.
3. Ứng dụng: Xác định thao tác có được phép không.
4. Kho tài liệu: Chứa dữ liệu cần được bảo vệ.

Một trust boundary đánh dấu nơi giả định về quyền kiểm soát hoặc độ tin cậy thay đổi. Trong mô hình trên, người dùng có thể điều khiển trình duyệt của mình; ứng dụng không nên xem dữ liệu do trình duyệt gửi như bằng chứng đủ về quyền truy cập. Cách thực thi cụ thể thuộc bài sau.

• Chủ thể (actor): ai hoặc thành phần nào thực hiện thao tác?
• Tài nguyên (resource): thao tác nhắm vào tài liệu nào?
• Thao tác (action): đọc, sửa, xóa hay chia sẻ?
• Ngữ cảnh (context): thuộc nhóm nào, vào thời điểm nào, chính sách nào đang áp dụng?

Tài liệu gốc để đối chiếu khái niệm: OWASP — Threat Modeling. Các nguồn còn lại được nêu trong metadata để reader hiển thị cùng phạm vi kiểm chứng.