安全措施其中會涉及用戶個人信息

Question

我目前工作的一個ASP.NET 3.5和C＃的Web應用程序與像SSN號碼的用戶的私人信息交易應用。從應用程序開發角度來看，我需要採取哪些安全措施來保證安全？

Answer 1

爲確保您的應用程序，您需要了解它將面臨的威脅，然後制定相應的緩解技術。開始的好地方是創建一個威脅模型。

看一看一些資源：

• How To: Create a Threat Model for a Web Application at Design Time
• Web Application Exploits and Defenses
• Web Security: Are You Part Of The Problem?
• OWASP

Answer 2

如果你將需要用戶通過網絡敏感信息的形式，它應該由SSL（HTTPS URL）進行保護。這有助於確保瀏覽器和服務器之間的通信通道。

你不應該在你的數據庫的私人和敏感信息存儲，除非它是絕對必要的，如果你要做到這一點，當然，你必須保存它加密。

Answer 3

那麼，除了使用加密的明顯的問題，有人告訴我，這是一個很好的做法，以避免用戶的狀態一類的部分，特別是在外部的代碼庫。

例如：代替此：

公共類secretClass（）
公共子新（SSN作爲字符串）
_ssn = SSN
端子
公共函數getMedicalHistory（）作爲數據集
'Get private information
End Function
End Class

使用此：

公共類secretClass（）
公共子新（）
結束小組
公共功能getMedicalHistory（p_ssn作爲字符串）作爲數據集
'獲取私人信息
結束功能
結束等級

通過這樣做，您會使惡意黑客更難以通過某種方式竊取私人信息，從而獲得對secretClass對象的控制權。

Answer 4

禁用遠程登錄到你的數據庫，使用多個代碼分析工具（代碼覆蓋率和靜態分析儀），強制用於登錄到系統的強密碼的要求，至少有一個SHA-1加密算法加密所有數據;根據政府的要求，MD5被認爲太弱了。