កម្មវិធីស្តង់ដារសុវត្ថិភាព
ព័ត៌មានអំពីផលិតផល
លក្ខណៈបច្ចេកទេស
- ឈ្មោះផលិតផល៖ ស្តង់ដារកម្មវិធីសុវត្ថិភាពរបស់ CSA
- កំណែ៖ 1.0
- កាលបរិច្ឆេទចេញផ្សាយ៖ ថ្ងៃទី ១០ ខែមករា ឆ្នាំ ២០២៤
អំពីស្តង់ដារ
ស្តង់ដារកម្មវិធីសុវត្ថិភាពរបស់ CSA គឺជាសំណុំនៃគោលការណ៍ណែនាំ និងល្អបំផុត
ការអនុវត្តសម្រាប់ការអនុវត្តការត្រួតពិនិត្យសុវត្ថិភាពការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវនៅក្នុង
កម្មវិធីទូរស័ព្ទ។ វាមានគោលបំណងធានានូវការផ្ទៀងផ្ទាត់ដោយសុវត្ថិភាព
យន្តការ និងការពារទិន្នន័យរសើបពីការចូលប្រើដោយគ្មានការអនុញ្ញាត។ នេះ។
ស្តង់ដារត្រូវបានបង្កើតឡើងនៅក្នុងការពិគ្រោះយោបល់ជាមួយអង្គការផ្សេងៗ
និងអ្នកជំនាញក្នុងវិស័យសន្តិសុខតាមអ៊ីនធឺណិត។
គោលបំណង វិសាលភាព និងទស្សនិកជនដែលមានបំណង
គោលបំណងនៃស្តង់ដារកម្មវិធីសុវត្ថិភាពរបស់ CSA គឺដើម្បីផ្តល់
អ្នកអភិវឌ្ឍន៍ជាមួយនឹងអនុសាសន៍ និងការអនុវត្តល្អបំផុតសម្រាប់ការអនុវត្ត
ការត្រួតពិនិត្យការផ្ទៀងផ្ទាត់សុវត្ថិភាពនៅក្នុងកម្មវិធីទូរស័ព្ទ។ ស្តង់ដារ
គឺអាចអនុវត្តបានចំពោះអ្នកអភិវឌ្ឍន៍ និងអង្គការដែលពាក់ព័ន្ធនៅក្នុង
ការអភិវឌ្ឍន៍កម្មវិធីទូរស័ព្ទដែលទាមទារការផ្ទៀងផ្ទាត់។ វា។
ត្រូវបានរចនាឡើងដើម្បីបង្កើនសុវត្ថិភាពរួមនៃការផ្ទៀងផ្ទាត់
ដំណើរការ និងការពារភាពឯកជនរបស់អ្នកប្រើប្រាស់។
សេចក្តីជូនដំណឹង និងការណែនាំពីអ្នកអភិវឌ្ឍន៍
ស្តង់ដារកម្មវិធីសុវត្ថិភាពរបស់ CSA ផ្តល់ការណែនាំដល់អ្នកអភិវឌ្ឍន៍លើ
អនុវត្តការត្រួតពិនិត្យសុវត្ថិភាពការផ្ទៀងផ្ទាត់។ វាសង្កត់ធ្ងន់ទៅលើ
សារៈសំខាន់នៃការអនុវត្តតាមការអនុវត្តល្អបំផុតក្នុងឧស្សាហកម្ម និងធានាបាននូវ
ការអនុវត្តប្រកបដោយសុវត្ថិភាពនៃយន្តការផ្ទៀងផ្ទាត់។ អ្នកអភិវឌ្ឍន៍
គួរតែយោងទៅលើស្តង់ដារសម្រាប់ការណែនាំលម្អិតអំពីការអនុវត្ត
ការត្រួតពិនិត្យសុវត្ថិភាពដែលបានណែនាំ។
និយមន័យឯកសារ និងឯកសារយោងធម្មតា។
ស្តង់ដារកម្មវិធីសុវត្ថិភាពរបស់ CSA រួមមានការកំណត់ឯកសារ និង
សេចក្តីយោងបទដ្ឋានដែលផ្តល់ភាពច្បាស់លាស់លើពាក្យដែលប្រើ
ហើយយោងទៅលើស្តង់ដារ និងគោលការណ៍ណែនាំឧស្សាហកម្មពាក់ព័ន្ធផ្សេងទៀត។
អ្នកអភិវឌ្ឍន៍គួរតែយោងទៅលើនិយមន័យ និងឯកសារយោងទាំងនេះសម្រាប់ ក
ការយល់ដឹងកាន់តែប្រសើរឡើងអំពីស្តង់ដារ។
ការណែនាំអំពីការប្រើប្រាស់ផលិតផល
ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ
ការផ្ទៀងផ្ទាត់គឺជាធាតុផ្សំដ៏សំខាន់នៃទូរស័ព្ទចល័តភាគច្រើន
កម្មវិធី។ វាផ្ទៀងផ្ទាត់អត្តសញ្ញាណអ្នកប្រើប្រាស់ អតិថិជន
កម្មវិធី និងឧបករណ៍ មុនពេលផ្តល់សិទ្ធិចូលប្រើជាក់លាក់
ធនធាន ឬអនុញ្ញាតឱ្យធ្វើសកម្មភាពជាក់លាក់។ ស្តង់ដារកម្មវិធីសុវត្ថិភាពរបស់ CSA
ផ្តល់នូវអនុសាសន៍ និងការអនុវត្តល្អបំផុតសម្រាប់ការអនុវត្តប្រកបដោយសុវត្ថិភាព
ការត្រួតពិនិត្យការផ្ទៀងផ្ទាត់។
ការគ្រប់គ្រងសុវត្ថិភាព
ស្តង់ដារកម្មវិធីសុវត្ថិភាពរបស់ CSA រួមមានដូចខាងក្រោម
ការត្រួតពិនិត្យសុវត្ថិភាពការផ្ទៀងផ្ទាត់៖
| ID | គ្រប់គ្រង |
|---|---|
| AUTHN-BP01 | កម្មវិធីនេះប្រើ Multi-Factor Authentication (MFA) ដើម្បីផ្ទៀងផ្ទាត់ ប្រតិបត្តិការដែលមានហានិភ័យខ្ពស់។ |
| AUTHN-BP02 | ការពិពណ៌នាអំពីការគ្រប់គ្រង |
| AUTHN-BP03 | ការពិពណ៌នាអំពីការគ្រប់គ្រង |
| AUTHN-BP04 | ការពិពណ៌នាអំពីការគ្រប់គ្រង |
| AUTHN-BP05 | ការពិពណ៌នាអំពីការគ្រប់គ្រង |
| AUTHN-BP06 | ការពិពណ៌នាអំពីការគ្រប់គ្រង |
AUTHN-BP01 - ការផ្ទៀងផ្ទាត់ពហុកត្តា (MFA)
នៅក្នុងប្រព័ន្ធផ្ទៀងផ្ទាត់កត្តាតែមួយបែបប្រពៃណី អ្នកប្រើប្រាស់
ជាធម្មតាគ្រាន់តែត្រូវការបញ្ចូល Something-You-Know (ដូចជាឈ្មោះអ្នកប្រើប្រាស់
និងពាក្យសម្ងាត់) ។ ទោះយ៉ាងណាក៏ដោយ MFA បន្ថែមស្រទាប់នៃការផ្ទៀងផ្ទាត់អត្តសញ្ញាណ
ដោយតម្រូវឱ្យមានកត្តាបន្ថែមដូចជា Something-You-Have និង
អ្វីមួយ - អ្នកគឺជា។ នេះធ្វើឱ្យវាកាន់តែពិបាកសម្រាប់អ្នកព្យាបាទ
តួអង្គក្នុងការសម្របសម្រួលគណនី និងបង្កើនសុវត្ថិភាពរួមនៃ
ដំណើរការផ្ទៀងផ្ទាត់។
ការណែនាំអំពីការអនុវត្ត
អ្នកអភិវឌ្ឍន៍គួរតែអនុវត្ត MFA ជំហានឡើង ដែលទាមទារ
កម្រិតការផ្ទៀងផ្ទាត់បន្ថែមសម្រាប់ប្រតិបត្តិការដែលមានហានិភ័យខ្ពស់។ នេះ។
ស្តង់ដារកម្មវិធីសុវត្ថិភាពរបស់ CSA ផ្តល់អាទិភាពដល់ MFA ខាងក្រោម
បន្សំ៖
- អ្វីមួយដែលអ្នកដឹង
- អ្វីមួយ - អ្នកមាន
- អ្វីមួយ - អ្នកគឺជា
សំណួរដែលសួរញឹកញាប់ (FAQ)
សំណួរ៖ តើអ្វីជាគោលបំណងនៃស្តង់ដារកម្មវិធីសុវត្ថិភាពរបស់ CSA?
ចម្លើយ៖ គោលបំណងនៃស្តង់ដារកម្មវិធីសុវត្ថិភាពរបស់ CSA គឺផ្តល់ជូន
អ្នកអភិវឌ្ឍន៍ជាមួយនឹងអនុសាសន៍ និងការអនុវត្តល្អបំផុតសម្រាប់ការអនុវត្ត
ការត្រួតពិនិត្យការផ្ទៀងផ្ទាត់សុវត្ថិភាពនៅក្នុងកម្មវិធីទូរស័ព្ទ។
សំណួរ៖ តើអ្នកណាជាទស្សនិកជនដែលមានបំណងសម្រាប់កម្មវិធីសុវត្ថិភាពរបស់ CSA
ស្តង់ដារ?
ចម្លើយ៖ ស្តង់ដារកម្មវិធីសុវត្ថិភាពរបស់ CSA ត្រូវបានបម្រុងទុកសម្រាប់អ្នកអភិវឌ្ឍន៍ និង
អង្គការពាក់ព័ន្ធក្នុងការអភិវឌ្ឍន៍កម្មវិធីទូរស័ព្ទ
ដែលទាមទារការផ្ទៀងផ្ទាត់។
សំណួរ៖ តើអ្វីជាអត្ថប្រយោជន៍នៃការអនុវត្តពហុកត្តា
ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ (MFA)?
ចម្លើយ៖ ការអនុវត្ត MFA បន្ថែមស្រទាប់នៃការផ្ទៀងផ្ទាត់អត្តសញ្ញាណ ការបង្កើត
វាកាន់តែពិបាកសម្រាប់តួអង្គព្យាបាទក្នុងការសម្របសម្រួលគណនី និង
ពង្រឹងសុវត្ថិភាពទាំងមូលនៃដំណើរការផ្ទៀងផ្ទាត់។
1
កំណែស្តង់ដារកម្មវិធីសុវត្ថិភាពរបស់ CSA 1.0 បានចេញផ្សាយនៅថ្ងៃទី 10 ខែមករា ឆ្នាំ 2024
2
ក្នុងការពិគ្រោះជាមួយ៖
សមាគមធនាគារសិង្ហបុរី គណៈកម្មាធិការអចិន្ត្រៃយ៍នៃគណៈកម្មាធិការ Cyber Committee Deloitte Southeast Asia Risk Advisory Ernst & Young Advisory Pte. Ltd. KPMG នៅសិង្ហបុរី Lazada Microsoft Singapore PricewaterhouseCoopers Risk Services Pte. អិលធីឌី
ការបដិសេធ៖
អង្គការទាំងនេះត្រូវបានពិគ្រោះយោបល់លើស្តង់ដារសម្រាប់មតិកែលម្អ និងយោបល់លើការគ្រប់គ្រងសុវត្ថិភាព ការពិពណ៌នាអំពីការគ្រប់គ្រងសុវត្ថិភាព និងគោលការណ៍ណែនាំការអនុវត្តបច្ចេកទេស។ ក្នុងកម្រិតអតិបរិមាដែលអនុញ្ញាតក្រោមច្បាប់ CSA និងអ្នកប្រឹក្សាខាងក្រៅ នឹងមិនទទួលខុសត្រូវចំពោះភាពមិនត្រឹមត្រូវ កំហុស និង/ឬ ការលុបចោលណាមួយដែលមាននៅទីនេះ ឬសម្រាប់ការខាតបង់ ឬការខូចខាតគ្រប់ប្រភេទ (រួមទាំងការបាត់បង់ប្រាក់ចំណេញ អាជីវកម្ម សុច្ឆន្ទៈ ឬកេរ្តិ៍ឈ្មោះ។ និង/ឬការខូចខាតពិសេស ចៃដន្យ ឬជាផលវិបាក) ទាក់ទងនឹងការប្រើប្រាស់ ឬការពឹងផ្អែកលើស្តង់ដារនេះ។ អង្គការដែលបង្កើតកម្មវិធីទូរស័ព្ទ អ្នកផ្តល់សេវា និងអ្នកអភិវឌ្ឍន៍ត្រូវបានណែនាំឱ្យពិចារណាពីរបៀបដែលស្តង់ដារអាចត្រូវបានអនុវត្តចំពោះកាលៈទេសៈជាក់លាក់របស់ពួកគេ ទទួលបានដំបូន្មានផ្នែកច្បាប់ និង/ឬបច្ចេកទេសផ្ទាល់ខ្លួនរបស់ពួកគេ ទាក់ទងនឹងខ្លឹមសារ និង/ឬការអនុវត្តអនុសាសន៍នៅក្នុងអង្គការស្តង់ដារដែលកំពុងអភិវឌ្ឍទូរស័ព្ទ។ កម្មវិធី អ្នកផ្តល់សេវា និងអ្នកអភិវឌ្ឍន៍គួរតែអនុវត្តការវិនិច្ឆ័យប្រកបដោយវិជ្ជាជីវៈប្រសិនបើ និងនៅពេលអនុវត្តអនុសាសន៍នៅក្នុងស្តង់ដារ ហើយក៏គួរពិចារណាផងដែរថាតើវិធានការបន្ថែមគឺចាំបាច់ទាក់ទងនឹងកាលៈទេសៈជាក់លាក់របស់ពួកគេដែរឬទេ។
3
មាតិកា
ក្នុងការប្រឹក្សាជាមួយ៖ ……………………………………………………………………………………………………………………… ៣ ការបដិសេធ៖ … ………………………………………………………………………………………………………………………………………. 3 អំពីស្តង់ដារ………………………………………………………………………………………………………… 3 គោលបំណង, វិសាលភាព និងទស្សនិកជនដែលមានបំណង …………………………………………………………………………………………… 6 សេចក្តីជូនដំណឹង និងការណែនាំរបស់អ្នកអភិវឌ្ឍន៍ …………………… ………………………………………………………………………………. 6 និយមន័យឯកសារ និងឯកសារយោងធម្មតា ……………………………………………………………………………… 7 8. ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ………………………………… ……………………………………………………………………………… ១០
AUTHN-BP01 …………………………………………………………………………………………………………………………. 11 AUTHN-BP01a ……………………………………………………………………………………………………………………………………. 13 AUTHN-BP01b ………………………………………………………………………………………………………………………. ១៤ AUTHN-BP14c……………………………………………………………………………………………………………………….. ១៥
AUTHN-BP02 …………………………………………………………………………………………………………………………. 16 AUTHN-BP03 …………………………………………………………………………………………………………………………. ១៧
AUTHN-BP03a ………………………………………………………………………………………………………………………. 18 AUTHN-BP03b ……………………………………………………………………………………………………………………………………. 19 AUTHN-BP04 …………………………………………………………………………………………………………………………. 20 AUTHN-BP05 …………………………………………………………………………………………………………………………. 21 AUTHN-BP06 …………………………………………………………………………………………………………………………. ២២ ………………………………………………………………………………………………………………………………………………… ……….. ២៣ ២.ការអនុញ្ញាត………………………………………………………………………………………………………… ... 22 AUTHOR-BP23 …………………………………………………………………………………………………………………………………… .. 2 AUTHOR-BP24 ………………………………………………………………………………………………………………………. .01 AUTHOR-BP25 ……………………………………………………………………………………………………………………….. ២៧ AUTHOR-BP02 ……………………………………………………………………………………………………………………….. ២៨ ………………………………………………………………………………………………………………………………………………… …….. 26 03. Data Storage (Data-at-Rest) …………………………………………………………………………………………… …. 27 STORAGE-BP04 ………………………………………………………………………………………………………………………. 28 STORAGE-BP29 ………………………………………………………………………………………………………………………. 3 STORAGE-BP30a ……………………………………………………………………………………………………………. 01 STORAGE-BP31b ……………………………………………………………………………………………………………. 02 STORAGE-BP32 ………………………………………………………………………………………………………………………. ៣៥ …………………………………………………………………………………………………………………………………………………… ……….. 02 33. Anti-Tampការច្រានចោល និងការប្រឆាំងការបញ្ច្រាស……………………………………………………………………………………………..37 ភាពធន់-BP01 ………………… …………………………………………………………………………………………………………. 38 ភាពធន់-BP02 ………………………………………………………………………………………………………………………. ៣៩
4
ភាពធន់-BP03 ………………………………………………………………………………………………………………………. 41 Resilience-BP04 ……………………………………………………………………………………………………………………………………. 42 Resilience-BP05 ………………………………………………………………………………………………………………………. 43 Resilience-BP06 ……………………………………………………………………………………………………………………………………. 44 Resilience-BP07 ……………………………………………………………………………………………………………………………………. ៤៥ ឯកសារយោង…………………………………………………………………………………………………………………………………… ៤៦
5
អំពីស្តង់ដារ
ការណែនាំ ស្តង់ដារកម្មវិធីសុវត្ថិភាព គឺជាស្តង់ដារដែលបានណែនាំសម្រាប់កម្មវិធីទូរស័ព្ទ (កម្មវិធី) ដែលបង្កើតឡើងដោយទីភ្នាក់ងារសន្តិសុខអ៊ីនធឺណិតនៃប្រទេសសិង្ហបុរី (CSA) ដោយមានការប្រឹក្សាជាមួយដៃគូឧស្សាហកម្មពីស្ថាប័នហិរញ្ញវត្ថុ អង្គការបច្ចេកវិទ្យា ក្រុមហ៊ុនប្រឹក្សា និងទីភ្នាក់ងាររដ្ឋាភិបាល។ ជាងview គោលបំណងនៃស្តង់ដារគឺដើម្បីដាក់ចេញនូវគោលការណ៍មូលដ្ឋានដែលបានណែនាំនៃការត្រួតពិនិត្យសុវត្ថិភាពសម្រាប់អ្នកបង្កើតកម្មវិធីទូរស័ព្ទ និងអ្នកផ្តល់សេវាដើម្បីអនុវត្តតាម។ នេះនឹងធានាថាកម្មវិធីក្នុងស្រុកទាំងអស់ប្រកាន់ខ្ជាប់នូវការកំណត់ស្រដៀងគ្នានៃការគ្រប់គ្រងសុវត្ថិភាពសម្រាប់កម្មវិធីទូរស័ព្ទ ដោយហេតុនេះបង្កើនកម្រិតសុវត្ថិភាពនៃកម្មវិធីដែលបានបង្ហោះ និងបង្កើតនៅក្នុងប្រទេសសិង្ហបុរី។
គោលបំណង វិសាលភាព និងទស្សនិកជនដែលមានបំណង
ឯកសារនេះត្រូវបានបង្កើតឡើងដើម្បីផ្តល់នូវអនុសាសន៍ និងការផ្ដល់យោបល់ដល់អ្នកអភិវឌ្ឍន៍ ដើម្បីជួយពួកគេក្នុងការអនុវត្តមុខងារសុវត្ថិភាពទៅក្នុងកម្មវិធីរបស់ពួកគេ។ ការណែនាំ និងការផ្ដល់យោបល់បែបនេះមានគោលបំណងជួយអ្នកអភិវឌ្ឍន៍ក្នុងការកាត់បន្ថយប្រឆាំងនឹងវិសាលគមទូលំទូលាយនៃការគំរាមកំហែងផ្នែកសន្តិសុខតាមអ៊ីនធឺណិត និងដើម្បីការពារកម្មវិធីរបស់ពួកគេពីការបោកប្រាស់តាមទូរស័ព្ទចុងក្រោយបំផុត និងការកេងប្រវ័ញ្ចមេរោគតាមទូរស័ព្ទ។ ខ្លឹមសារនៅទីនេះគឺមិនជាប់ពាក់ព័ន្ធ ផ្តល់ជូនដោយផ្អែកលើមូលដ្ឋានមិនពឹងផ្អែក និងមានន័យថាជាព័ត៌មានក្នុងលក្ខណៈធម្មជាតិ និងមិនមានបំណងកំណត់អត្តសញ្ញាណឱ្យបានពេញលេញនូវការគំរាមកំហែងផ្នែកសុវត្ថិភាពតាមអ៊ីនធឺណិត ឬបញ្ជាក់យ៉ាងពេញលេញនូវដំណើរការ ឬប្រព័ន្ធដែលអ្នកអភិវឌ្ឍន៍គួរតែដាក់ឱ្យប្រើប្រាស់ដើម្បីដោះស្រាយ ឬទប់ស្កាត់បញ្ហាបែបនេះ។ ការគំរាមកំហែង។ កំណែទី 1 នៃគោលការណ៍ណែនាំ និងការគ្រប់គ្រងសុវត្ថិភាពរបស់ Safe App Standard នឹងផ្តោតជាចម្បងលើការផ្តល់នូវគោលការណ៍ណែនាំសុវត្ថិភាពដល់អ្នកបង្កើតកម្មវិធីដែលមានហានិភ័យខ្ពស់ ដើម្បីទប់ទល់នឹងមេរោគទូរសព្ទចល័តចុងក្រោយបង្អស់ និងការកេងប្រវ័ញ្ចបោកប្រាស់ដែលឃើញនៅក្នុងទិដ្ឋភាពគំរាមកំហែងរបស់ប្រទេសសិង្ហបុរី។ ទោះជាយ៉ាងណាក៏ដោយ ការគ្រប់គ្រងសុវត្ថិភាពទាំងនេះក៏អាចផ្តល់អត្ថប្រយោជន៍ និងត្រូវបានអនុវត្តដោយកម្មវិធីផ្សេងទៀតផងដែរ។ វាត្រូវបានណែនាំឱ្យអ្នកអភិវឌ្ឍន៍ទាំងអស់ខិតខំអនុវត្តវិធានការទាំងនេះសម្រាប់ការពង្រឹងសុវត្ថិភាពកម្មវិធីទូរស័ព្ទ។ ទោះបីជាស្តង់ដារនេះមានផ្នែកផ្តោតសំខាន់ក៏ដោយ ការបន្តបន្ទាប់ទៀតនឹងពង្រីកដើម្បីដោះស្រាយការអនុវត្ត និងគោលការណ៍ណែនាំសុវត្ថិភាពល្អបំផុតសម្រាប់ជង់កម្មវិធីទូរស័ព្ទទាំងមូល។
6
សេចក្តីជូនដំណឹង និងការណែនាំពីអ្នកអភិវឌ្ឍន៍
នេះជាឯកសាររស់នៅដែលនឹងត្រូវធ្វើឡើងវិញ។view និងការពិនិត្យឡើងវិញតាមកាលកំណត់។ ដូចស្តង់ដារដែលបានបង្កើតឡើងជាច្រើនទៀត ស្តង់ដារកម្មវិធីសុវត្ថិភាពគឺជាឯកសាររស់នៅដែលនឹងត្រូវបានធ្វើបច្ចុប្បន្នភាពជាទៀងទាត់ដើម្បីផ្គូផ្គងទិដ្ឋភាពគំរាមកំហែងបច្ចុប្បន្ន និងកំពុងវិវត្ត និងវ៉ិចទ័រវាយប្រហារថ្មី។ សូមយោងទៅលើ CSA webគេហទំព័រដើម្បីបន្តអាប់ដេតជាមួយនឹងកំណែចុងក្រោយបំផុតនៃស្តង់ដារកម្មវិធីសុវត្ថិភាព និងសម្របវិធានការសុវត្ថិភាព និងការគ្រប់គ្រងទៅតាមនោះ។ ស្តង់ដារនេះគួរតែត្រូវបានអានដោយភ្ជាប់ជាមួយ និងមិនជំនួស ផ្លាស់ប្តូរ ឬជំនួសកាតព្វកិច្ច និងកាតព្វកិច្ច និងកាតព្វកិច្ចផ្សេងទៀតរបស់អ្នកបង្កើតកម្មវិធី និងអ្នកផ្តល់សេវា រួមទាំងច្បាប់ដែលស្ថិតនៅក្រោម Cybersecurity Act 2018 និងច្បាប់បុត្រសម្ព័ន្ធ កូដនៃការអនុវត្ត។ ស្ដង់ដារនៃការអនុវត្ត ឬការណែនាំជាលាយលក្ខណ៍អក្សរដែលបានចេញផ្សាយនៅទីនោះ។ ការប្រើប្រាស់ឯកសារនេះ និងការអនុវត្តអនុសាសន៍នៅទីនេះក៏មិនលើកលែង ឬបណ្តេញអ្នកបង្កើតកម្មវិធី និងអ្នកផ្តល់សេវាដោយស្វ័យប្រវត្តិពីកាតព្វកិច្ច ឬកាតព្វកិច្ចបែបនេះដែរ។ ខ្លឹមសារនៃឯកសារនេះមិនមានបំណងធ្វើជាសេចក្តីថ្លែងការណ៍ដែលមានសិទ្ធិអំណាចនៃច្បាប់ ឬជំនួសសម្រាប់ដំបូន្មានផ្នែកច្បាប់ ឬវិជ្ជាជីវៈផ្សេងទៀត។ ការណែនាំរបស់អ្នកអភិវឌ្ឍន៍លើក្របខ័ណ្ឌសុវត្ថិភាពស្តង់ដារកម្មវិធីសុវត្ថិភាព ដើម្បីភាពងាយស្រួលក្នុងការប្រើប្រាស់ អ្នកអភិវឌ្ឍន៍គួរតែចំណាំថាកំណែទី 1 នៃស្តង់ដារកម្មវិធីសុវត្ថិភាពកំណត់គោលដៅលើផ្នែកសំខាន់ៗខាងក្រោម ហើយឯកសារខ្លួនវាអាចត្រូវបានបំបែកទៅជាផ្នែករងខាងក្រោម៖
· ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ · ការអនុញ្ញាត · ការផ្ទុកទិន្នន័យ (Data-at-Rest) · Anti-Tamper & Anti-Reversing ផ្នែកសំខាន់ៗទាំងនេះត្រូវបានរួមបញ្ចូល ដើម្បីធានាបាននូវស្តង់ដារសុវត្ថិភាពកម្មវិធីទូរស័ព្ទ ប្រឆាំងនឹងវ៉ិចទ័រវាយប្រហារទូទៅបំផុតដែលប្រើដោយតួអង្គព្យាបាទនៅក្នុងប្រព័ន្ធអេកូក្នុងតំបន់របស់យើង។ ស្ដង់ដារកម្មវិធីសុវត្ថិភាព ផ្តល់នូវការកំណត់ច្បាស់លាស់ និងសង្ខេបនៃការគ្រប់គ្រងសុវត្ថិភាព គោលការណ៍ណែនាំ និងការអនុវត្តល្អបំផុតសម្រាប់ការពង្រឹងសុវត្ថិភាពនៃកម្មវិធីទូរស័ព្ទដែលផ្តល់ ឬបើកដំណើរការប្រតិបត្តិការដែលមានហានិភ័យខ្ពស់។
7
និយមន័យឯកសារ និងឯកសារយោងធម្មតា។
និយមន័យឯកសារ ខាងក្រោមនេះគឺជានិយមន័យមួយចំនួនដែលអ្នកអភិវឌ្ឍន៍ និងអ្នកអានគួរចងចាំនៅពេលពួកគេប្រើប្រាស់ឯកសារនេះ៖ ទិន្នន័យរសើប ទិន្នន័យអ្នកប្រើប្រាស់ដូចជាព័ត៌មានអត្តសញ្ញាណផ្ទាល់ខ្លួន (PII) និងទិន្នន័យផ្ទៀងផ្ទាត់ដូចជាព័ត៌មានអត្តសញ្ញាណ សោអ៊ិនគ្រីប ពាក្យសម្ងាត់តែម្តង ទិន្នន័យជីវមាត្រ។ និមិត្តសញ្ញាសុវត្ថិភាព វិញ្ញាបនបត្រ។ល។ ប្រតិបត្តិការដែលមានហានិភ័យខ្ពស់គឺជាប្រតិបត្តិការដែលពាក់ព័ន្ធ៖
· ការផ្លាស់ប្តូរមុខងារហិរញ្ញវត្ថុមួយចំនួន ឧamples រួមបញ្ចូល ប៉ុន្តែមិនកំណត់ចំពោះការចុះឈ្មោះព័ត៌មានលម្អិតនៃអ្នកទទួលប្រាក់ភាគីទីបី ការបង្កើនដែនកំណត់ផ្ទេរមូលនិធិ។ល។
· ការចាប់ផ្តើមប្រតិបត្តិការហិរញ្ញវត្ថុមួយចំនួន ឧamples រួមបញ្ចូល ប៉ុន្តែមិនត្រូវបានកំណត់ចំពោះប្រតិបត្តិការមូលនិធិដែលមានតម្លៃខ្ពស់ ការផ្ទេរប្រាក់ដែលមានតម្លៃខ្ពស់ ប្រតិបត្តិការកាតអនឡាញ ការចូលប្រើឥណពន្ធដោយផ្ទាល់ មុខងាររក្សាទុកប្រាក់ និងការបញ្ចូលទឹកប្រាក់ជាដើម។
· ការផ្លាស់ប្តូរការកំណត់រចនាសម្ព័ន្ធសុវត្ថិភាពរបស់កម្មវិធីមួយចំនួន ឧampទាំងនេះរួមបញ្ចូល ប៉ុន្តែមិនត្រូវបានកំណត់ចំពោះការបិទវិធីសាស្ត្រផ្ទៀងផ្ទាត់ ការធ្វើបច្ចុប្បន្នភាពថូខឹនឌីជីថល ឬព័ត៌មានបញ្ជាក់អត្តសញ្ញាណជាដើម។
ការគ្រប់គ្រងសុវត្ថិភាព វិធានការប្រតិបត្តិការ ឬបច្ចេកទេសដែលបានណែនាំនៅក្នុងឯកសារនេះ ដែលគួរតែត្រូវបានអនុវត្តដើម្បីគ្រប់គ្រង តាមដាន និងកាត់បន្ថយភាពងាយរងគ្រោះ ឬឧបទ្ទវហេតុសុវត្ថិភាពដែលអាចកើតមាន។ ការគ្រប់គ្រងសុវត្ថិភាពទាំងនេះមានលេខសម្គាល់ខាងក្រោមដែលភ្ជាប់ជាមួយពួកវា ឧទាហរណ៍ AUTHN-BP01, AUTHOR-BP01, STORAGE-BP01, RESILIENCE-BP01។ ឯកសារយោងធម្មតា ស្តង់ដារកម្មវិធីសុវត្ថិភាព យោងស្តង់ដារឧស្សាហកម្មពីការបើក Web គម្រោងសុវត្ថិភាពកម្មវិធី (OWASP) ទីភ្នាក់ងារសហភាពអឺរ៉ុបសម្រាប់បណ្តាញ និងសន្តិសុខព័ត៌មាន (ENISA) និងស្តង់ដារសុវត្ថិភាពទិន្នន័យឧស្សាហកម្មកាតទូទាត់ (PCI DSS) ។ បញ្ជីឯកសារយោងមានដូចខាងក្រោម៖
· MASVS របស់ OWASP (ស្តង់ដារផ្ទៀងផ្ទាត់សុវត្ថិភាពកម្មវិធីទូរស័ព្ទ) · MASTG របស់ OWASP (មគ្គុទ្ទេសក៍ការធ្វើតេស្តសុវត្ថិភាពកម្មវិធីទូរស័ព្ទ) · គោលការណ៍ណែនាំស្តីពីការអភិវឌ្ឍន៍សុវត្ថិភាពរបស់ ENISA (SSDG) · PCI DSS's Mobile Payment Guidelines for Developers
8
9
1. ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ
សេចក្តីផ្តើម
ការផ្ទៀងផ្ទាត់គឺជាធាតុផ្សំដ៏សំខាន់នៃកម្មវិធីទូរស័ព្ទភាគច្រើន។ កម្មវិធីទាំងនេះជាទូទៅប្រើប្រាស់ទម្រង់ផ្សេងៗនៃការផ្ទៀងផ្ទាត់ រួមទាំងជីវមាត្រ កូដ PIN ឬម៉ាស៊ីនបង្កើតកូដផ្ទៀងផ្ទាត់ពហុកត្តា។ ការធានាថាយន្តការផ្ទៀងផ្ទាត់គឺមានសុវត្ថិភាព និងត្រូវបានអនុវត្តតាមការអនុវត្តល្អបំផុតក្នុងឧស្សាហកម្មគឺមានសារៈសំខាន់ណាស់ក្នុងការធ្វើឱ្យអត្តសញ្ញាណអ្នកប្រើប្រាស់មានសុពលភាព។
តាមរយៈការអនុវត្តការគ្រប់គ្រងសុវត្ថិភាពដ៏រឹងមាំសម្រាប់ការផ្ទៀងផ្ទាត់ អ្នកអភិវឌ្ឍន៍អាចធានាថាមានតែអ្នកប្រើប្រាស់ អតិថិជន កម្មវិធី និងឧបករណ៍ដែលបានផ្ទៀងផ្ទាត់ប៉ុណ្ណោះដែលអាចចូលប្រើធនធានជាក់លាក់ ឬអនុវត្តសកម្មភាពជាក់លាក់។ តាមរយៈការត្រួតពិនិត្យការផ្ទៀងផ្ទាត់ដោយសុវត្ថិភាព អ្នកអភិវឌ្ឍន៍ក៏អាចកាត់បន្ថយហានិភ័យនៃការចូលប្រើទិន្នន័យដោយគ្មានការអនុញ្ញាត រក្សាភាពត្រឹមត្រូវនៃទិន្នន័យរសើប រក្សាភាពឯកជនរបស់អ្នកប្រើប្រាស់ និងការពារសុចរិតភាពនៃមុខងារប្រតិបត្តិការដែលមានហានិភ័យខ្ពស់។
ការគ្រប់គ្រងនៅក្នុងប្រភេទនេះមានគោលបំណងណែនាំការត្រួតពិនិត្យសុវត្ថិភាពការផ្ទៀងផ្ទាត់ដែលកម្មវិធីគួរតែអនុវត្តដើម្បីការពារទិន្នន័យរសើប និងការពារការចូលប្រើដោយគ្មានការអនុញ្ញាត។ វាក៏ផ្តល់ឱ្យអ្នកអភិវឌ្ឍន៍នូវការអនុវត្តល្អបំផុតដែលពាក់ព័ន្ធដើម្បីអនុវត្តការត្រួតពិនិត្យសុវត្ថិភាពទាំងនេះផងដែរ។
ការគ្រប់គ្រងសុវត្ថិភាព
ID
គ្រប់គ្រង
AUTHN-BP01 AUTHN-BP01a AUTHN-BP01b AUTHN-BP01c AUTHN-BP02 AUTHN-BP03 AUTHN-BP03a AUTHN-BP03b AUTHN-BP04 AUTHN-BP05AUTHN
ប្រើ Multi-Factor Authentication ដើម្បីផ្ទៀងផ្ទាត់ប្រតិបត្តិការដែលមានហានិភ័យខ្ពស់។ អនុវត្តការផ្ទៀងផ្ទាត់អ្វីមួយដែលអ្នកដឹងជាកត្តាមួយក្នុងចំណោមកត្តា MFA ។ អនុវត្តអ្វីមួយ - អ្នក - មានការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវជាកត្តាមួយក្នុងចំណោមកត្តា MFA ។ អនុវត្តការផ្ទៀងផ្ទាត់អ្វីមួយ - អ្នកគឺជាកត្តាមួយក្នុងចំណោមកត្តា MFA ។ ប្រើកត្តាផ្អែកលើបរិបទដើម្បីផ្ទៀងផ្ទាត់។ អនុវត្តការផ្ទៀងផ្ទាត់សម័យសុវត្ថិភាព។ អនុវត្តការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវដោយសុវត្ថិភាព។ អនុវត្តការផ្ទៀងផ្ទាត់ភាពគ្មានរដ្ឋដែលមានសុវត្ថិភាព។ អនុវត្តការបញ្ចប់វគ្គដែលមានសុវត្ថិភាព កំឡុងពេលចេញពីគណនី អសកម្ម ឬការបិទកម្មវិធី។ អនុវត្តការការពារកម្លាំង brute សម្រាប់ការផ្ទៀងផ្ទាត់។ អនុវត្តយន្តការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវនៃប្រតិបត្តិការ។
10
AUTHN-BP01
គ្រប់គ្រង
កម្មវិធីនេះប្រើ Multi-Factor Authentication (MFA) ដើម្បីផ្ទៀងផ្ទាត់ប្រតិបត្តិការដែលមានហានិភ័យខ្ពស់។
ការពិពណ៌នា
នៅក្នុងប្រព័ន្ធការផ្ទៀងផ្ទាត់កត្តាតែមួយបែបប្រពៃណី អ្នកប្រើប្រាស់ជាធម្មតាគ្រាន់តែត្រូវការបញ្ចូល Something-YouKnow1 ដូចជាឈ្មោះអ្នកប្រើប្រាស់ និងពាក្យសម្ងាត់។ ទោះជាយ៉ាងណាក៏ដោយ ប្រសិនបើកត្តាតែមួយនេះបរាជ័យ ឬត្រូវបានសម្របសម្រួល ដំណើរការផ្ទៀងផ្ទាត់ទាំងស្រុងគឺងាយរងគ្រោះទៅនឹងការគំរាមកំហែង។
MFA គឺជានីតិវិធីនៃការផ្ទៀងផ្ទាត់អត្តសញ្ញាណដែលបន្ថែមស្រទាប់នៃការផ្ទៀងផ្ទាត់អត្តសញ្ញាណ ដែលទាមទារមិនត្រឹមតែ Something-You-Know ប៉ុន្តែក៏មាន Something-You-Have2 និង Something-You-Are3 ផងដែរ។ ការអនុវត្ត MFA ធ្វើឱ្យវាកាន់តែលំបាកសម្រាប់តួអង្គព្យាបាទក្នុងការសម្របសម្រួលគណនី និងបង្កើនសុវត្ថិភាពទាំងមូលនៃដំណើរការផ្ទៀងផ្ទាត់។
ការណែនាំអំពីការអនុវត្ត
អ្នកអភិវឌ្ឍន៍គួរតែប្រើ Step-up MFA ។ វាគឺជាប្រភេទជាក់លាក់នៃ MFA ដែលកម្មវិធីរួមបញ្ចូលយុទ្ធសាស្ត្រផ្ទៀងផ្ទាត់ដែលទាមទារកម្រិតការផ្ទៀងផ្ទាត់បន្ថែម ជាពិសេសនៅពេលព្យាយាមប្រតិបត្តិការដែលមានហានិភ័យខ្ពស់។
អ្នកអភិវឌ្ឍន៍គួរតែកំណត់អាទិភាពបន្សំ MFA ខាងក្រោមក្នុងលំដាប់ 1, 2, 3 និង 4 ជាមួយនឹងជម្រើស 1 ជាជម្រើសដែលមានសុវត្ថិភាពបំផុត។
កត្តា/ជម្រើស Something-You-Know Something-You-Have
· និមិត្តសញ្ញាកម្មវិធី · សញ្ញាសម្ងាត់ផ្នែករឹង · SMS OTP Something-You-Are
1
2
3
4
1 Something-You-Know សំដៅលើព័ត៌មានដែលអ្នកប្រើប្រាស់ដឹង ដូចជា PIN (លេខអត្តសញ្ញាណផ្ទាល់ខ្លួន) ពាក្យសម្ងាត់ ឬលំនាំជាដើម។ បង្កើតព័ត៌មានបញ្ជាក់អត្តសញ្ញាណដែលអាចរួមបញ្ចូលទាំងពាក្យសម្ងាត់មួយដងដែលមានមូលដ្ឋានលើពេលវេលា (OTPs)។ ឧamples នៃ tokens រួមមាន software tokens, hardware tokens និង SMS OTP។ 3 Something-You-Are សំដៅលើឧបករណ៍កំណត់អត្តសញ្ញាណជីវមាត្រ ដែលលក្ខណៈរូបវន្តពិសេសរបស់អ្នកប្រើប្រាស់ត្រូវបានប្រើសម្រាប់ការផ្ទៀងផ្ទាត់ ដូចជាស្នាមម្រាមដៃ ការស្កែនរីទីណា ការសម្គាល់មុខ ឬការសម្គាល់សំឡេង។
11
អ្នកអភិវឌ្ឍន៍ត្រូវបានណែនាំយ៉ាងខ្លាំងកុំឱ្យពឹងផ្អែកលើសារ SMS និងអ៊ីមែល OTP ជាឆានែលសម្រាប់ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវសម្រាប់ប្រតិបត្តិការដែលមានហានិភ័យខ្ពស់។ ប្រសិនបើមិនអាចទេ វាជារឿងសំខាន់ក្នុងការអនុវត្តកត្តាជីវមាត្រ ឬកត្តាផ្ទៀងផ្ទាត់បន្ថែម ដោយភ្ជាប់ជាមួយ SMS OTP និងអ៊ីមែល OTP ។ អ្វីដែលត្រូវកត់សម្គាល់
· វាត្រូវបានណែនាំយ៉ាងមុតមាំឱ្យជ្រើសរើសដំណោះស្រាយក្រៅធ្នើនៅពេលដែលអាចធ្វើទៅបាន។ · អ្នកអភិវឌ្ឍន៍គួរតែធានាថាយ៉ាងហោចណាស់កត្តា MFA មួយត្រូវបានផ្ទៀងផ្ទាត់នៅខាងអតិថិជន ដោយមានទាំងអស់។
អ្នកផ្សេងទៀតបានផ្ទៀងផ្ទាត់នៅលើផ្នែកខាងម៉ាស៊ីនមេ។ ក្នុងករណីដែលការផ្ទៀងផ្ទាត់ត្រូវបានផ្ទៀងផ្ទាត់នៅខាងអតិថិជន ជាពិសេសសម្រាប់ Android សូមអនុវត្តកូដដែលមានមូលដ្ឋានលើ Trusted Execution Environment (TEE)។ · ការត្រួតពិនិត្យសុវត្ថិភាពនេះត្រូវបានយោងនៅក្នុងស្តង់ដារផ្សេងទៀត។ សូមយោងទៅលើឯកសារដែលបានផ្តល់ជូនក្នុង៖
o ស្តង់ដារផ្ទៀងផ្ទាត់សុវត្ថិភាពកម្មវិធីទូរស័ព្ទ OWASP (MASVS) v2.0.0 (2023), ទំព័រ។ ២១.
o OWASP Mobile Application Security Guide Testing Guide (MASTG) v1.7.0 (2023) ទំព័រ។ 51, 56. o គោលការណ៍ណែនាំស្តីពីការគ្រប់គ្រងហានិភ័យបច្ចេកវិទ្យា MAS (2021), ទំព័រ។ 34, 50. o ENISA Smartphone Secure Development Guidelines (2016), ទំព័រ។ ១១.
12
ការត្រួតពិនិត្យ AUTHN-BP01a កម្មវិធីនេះអនុវត្តការផ្ទៀងផ្ទាត់អ្វីមួយដែលអ្នកដឹងជាកត្តាមួយក្នុងចំណោមកត្តា MFA ។ ការពិពណ៌នា Something-You-Know តំណាងឱ្យស្រទាប់មូលដ្ឋាននៃការផ្ទៀងផ្ទាត់អត្តសញ្ញាណដែលពាក់ព័ន្ធនឹងព័ត៌មានដែលស្គាល់ចំពោះអ្នកប្រើប្រាស់តែប៉ុណ្ណោះ ដូចជាលេខកូដ PIN (លេខអត្តសញ្ញាណផ្ទាល់ខ្លួន) ពាក្យសម្ងាត់ លំនាំជាដើម។ ការអនុវត្តអ្វីមួយដែលអ្នក-ដឹង ជាកត្តាមួយក្នុងចំណោមកត្តា MFA ធានាឱ្យ កម្រិតមូលដ្ឋាននៃការផ្ទៀងផ្ទាត់អត្តសញ្ញាណដោយតម្រូវឱ្យអ្នកប្រើប្រាស់ផ្តល់ព័ត៌មានតែមួយគត់ដែលពាក់ព័ន្ធជាមួយគណនីរបស់ពួកគេ។ វាគឺជាកត្តាសំខាន់មួយនៅក្នុងគោលការណ៍ "អ្វីមួយដែលអ្នក-ដឹង អ្វីមួយដែលអ្នកមាន និងអ្វីដែលអ្នកមាន" ដែលរួមចំណែកដល់យុទ្ធសាស្ត្រសន្តិសុខពហុស្រទាប់ដ៏ទូលំទូលាយ និងមានប្រសិទ្ធភាព។ ការណែនាំអំពីការអនុវត្ត អ្នកអភិវឌ្ឍន៍គួរតែប្រកាន់យកគោលការណ៍ណែនាំខាងក្រោមក្នុងការបង្កើតពាក្យសម្ងាត់រឹងមាំ និងសុវត្ថិភាព៖
· ត្រូវប្រាកដថាប្រវែងពាក្យសម្ងាត់អប្បបរមា 12 តួអក្សរ ឬច្រើនជាងនេះ។ · រួមបញ្ចូលការលាយបញ្ចូលគ្នានៃអក្សរធំ និងអក្សរតូច លេខ និងតួអក្សរពិសេសដែលមានកំណត់
~`! @#$%^&*()_-+=:;,.? អ្នកអភិវឌ្ឍន៍ក៏គួរតែទទួលស្គាល់ និងជៀសវាងបញ្ហាទូទៅនៅក្នុងការបង្កើតពាក្យសម្ងាត់៖
· ជៀសវាងការប្រើពាក្យ ឃ្លា ឬបន្សំដែលអាចទាយបាន។ · បដិសេធពីការបញ្ចូលព័ត៌មានលម្អិតផ្ទាល់ខ្លួន។ · គ្រប់គ្រងតួអក្សរបន្តបន្ទាប់គ្នា (ឧទាហរណ៍ “123456”) ឬតួអក្សរដដែលៗ (ឧទាហរណ៍ “aaaaa”)។ អ្វីដែលត្រូវកត់សម្គាល់ · អ្នកអភិវឌ្ឍន៍គួរតែអនុវត្តការបង្វិលលិខិតសម្គាល់តែលើទ្រព្យសម្បត្តិរបស់ស្ថាប័ន ឬប្រសិនបើមិនមាន
ការអនុវត្ត MFA លើអ្នកប្រើប្រាស់ ឧ. បានផ្លាស់ប្តូរប្រចាំឆ្នាំ ឬតាមពេលវេលាសមស្របមួយ។ · ការត្រួតពិនិត្យសុវត្ថិភាពនេះត្រូវបានយោងនៅក្នុងស្តង់ដារផ្សេងទៀត។ សូមយោងទៅលើឯកសារ
ផ្តល់ជូននៅក្នុង៖ o គោលការណ៍ណែនាំស្តីពីការគ្រប់គ្រងហានិភ័យបច្ចេកវិទ្យា MAS (2021), ទំព័រ។ 34. o ENISA Smartphone Secure Development Guidelines (2016), ទំព័រ។ ១០.
13
ការត្រួតពិនិត្យ AUTHN-BP01b កម្មវិធីនេះអនុវត្តការផ្ទៀងផ្ទាត់អ្វីមួយ - អ្នកមានការផ្ទៀងផ្ទាត់ជាកត្តាមួយក្នុងចំណោមកត្តា MFA ។ ការពិពណ៌នា Something-You-Have តម្រូវឱ្យអ្នកប្រើប្រាស់ផ្ទៀងផ្ទាត់ជាមួយឧបករណ៍រូបវ័ន្ត កម្មវិធី ឬសញ្ញាសម្ងាត់ដែលបង្កើតលិខិតបញ្ជាក់ការផ្ទៀងផ្ទាត់ ដែលអាចរួមបញ្ចូលពាក្យសម្ងាត់តែម្តង (OTPs) ផ្អែកលើពេលវេលា។ ឧamples នៃ tokens រួមមាន software tokens, hardware tokens និង SMS OTP។ ការអនុវត្តអ្វីមួយដែលអ្នក-មាន ជាកត្តាមួយក្នុងចំណោមកត្តា MFA បន្ថែមភាពស្មុគស្មាញដល់ដំណើរការផ្ទៀងផ្ទាត់ដោយតម្រូវឱ្យមានការកាន់កាប់នៃធាតុជាក់ស្តែង កាត់បន្ថយយ៉ាងខ្លាំងនូវលទ្ធភាពនៃការចូលប្រើដោយគ្មានការអនុញ្ញាត។ វាគឺជាកត្តាសំខាន់មួយនៅក្នុងគោលការណ៍នៃ "អ្វីមួយ-អ្នក-ដឹង, អ្វីមួយ-អ្នកមាន និងអ្វីមួយ-អ្នក-គឺ" ដែលរួមចំណែកដល់យុទ្ធសាស្រ្តសន្តិសុខពហុស្រទាប់ដ៏ទូលំទូលាយ និងមានប្រសិទ្ធភាព។ ការណែនាំអំពីការអនុវត្ត អ្នកអភិវឌ្ឍន៍គួរតែប្រើ OTP ផ្អែកលើពេលវេលាសម្រាប់សូហ្វវែរ ថូខឹនផ្នែករឹង និងសារ SMS OTP ។ គោលការណ៍ណែនាំខាងក្រោមគួរតែត្រូវបានអនុវត្តតាម៖
· OTP គួរតែមានសុពលភាពត្រឹមតែមិនលើសពី 30 វិនាទីប៉ុណ្ណោះ។ · OTP ដែលត្រូវបានបញ្ចូលមិនត្រឹមត្រូវបន្ទាប់ពីការព្យាយាម 3 ដងគួរតែត្រូវបានធ្វើឱ្យមិនត្រឹមត្រូវ ហើយវគ្គរបស់អ្នកប្រើប្រាស់
គួរតែត្រូវបានលុបចោលឬបដិសេធ។ អ្វីដែលត្រូវកត់សម្គាល់
· ការត្រួតពិនិត្យសុវត្ថិភាពនេះត្រូវបានយោងនៅក្នុងស្តង់ដារផ្សេងទៀត។ សូមមើលឯកសារដែលបានផ្តល់នៅក្នុង៖ o OWASP Mobile Application Security Guide Testing Guide (MASTG) v1.7.0 (2023) ទំព័រ។ ៥៦-៥៧។ o គោលការណ៍ណែនាំស្តីពីការគ្រប់គ្រងហានិភ័យបច្ចេកវិទ្យា MAS (56), ទំព័រ។ 57, 2021. o ENISA Smartphone Secure Development Guidelines (50), ទំព័រ។ ១០.
14
AUTHN-BP01c
គ្រប់គ្រងកម្មវិធីនេះអនុវត្តការផ្ទៀងផ្ទាត់អ្វីមួយ - អ្នកគឺជាកត្តាមួយក្នុងចំណោមកត្តា MFA ។
ការពិពណ៌នា Something-You-Are តម្រូវឱ្យអ្នកប្រើប្រាស់ផ្ទៀងផ្ទាត់ជាមួយឧបករណ៍កំណត់អត្តសញ្ញាណជីវមាត្រ ដូចជាស្នាមម្រាមដៃ ការស្កែនរីទីណា ឬការសម្គាល់មុខ។ ការអនុវត្ត Something-You-Are ជាកត្តាមួយក្នុងចំណោមកត្តា MFA បន្ថែមកត្តាផ្ទៀងផ្ទាត់ផ្ទាល់ខ្លួន និងពិបាកក្នុងការចម្លង។ វាផ្តល់នូវមធ្យោបាយដ៏រឹងមាំក្នុងការផ្ទៀងផ្ទាត់អត្តសញ្ញាណអ្នកប្រើប្រាស់ជាងកត្តា Something-You-Know and Something-You-have ដោយកាត់បន្ថយហានិភ័យនៃការចូលប្រើដោយគ្មានការអនុញ្ញាត។ វាគឺជាកត្តាសំខាន់មួយនៅក្នុងគោលការណ៍នៃ "អ្វីមួយ-អ្នក-ដឹង, អ្វីមួយ-អ្នក-មាន និងអ្វីមួយ-អ្នក" ដែលរួមចំណែកដល់យុទ្ធសាស្ត្រសន្តិសុខពហុស្រទាប់ដ៏ទូលំទូលាយ និងមានប្រសិទ្ធភាព។ ការណែនាំអំពីការអនុវត្ត អ្នកអភិវឌ្ឍន៍គួរតែអនុវត្តការផ្ទៀងផ្ទាត់ជីវមាត្រផ្នែកខាងម៉ាស៊ីនមេ ដោយប្រើវេទិកាកំណត់អត្តសញ្ញាណជីវមាត្រដែលគួរឱ្យទុកចិត្តដូចជា Singpass ជាដើម។ ទោះជាយ៉ាងណាក៏ដោយ ប្រសិនបើវាមិនអាចទៅរួច អ្នកអភិវឌ្ឍន៍គួរតែអនុវត្តការផ្ទៀងផ្ទាត់ជីវមាត្រផ្នែកខាងអតិថិជនតាមរយៈយន្តការ Trusted Execution Environments (TEEs) របស់ឧបករណ៍ដូចជា CryptoObject និង Android Protected Confirmation សម្រាប់សេវាកម្ម Android ឬ Keychain សម្រាប់ iOS ។ អ្វីដែលត្រូវកត់សម្គាល់
· អ្នកអភិវឌ្ឍន៍គួរតែកំណត់មុខងាររបស់កម្មវិធីនៅលើឧបករណ៍ដែលខ្វះផ្នែករឹងដែលជឿជាក់លើបរិស្ថានប្រតិបត្តិ (TEE) ឬជីវមាត្រ។ សម្រាប់អតីតampដូច្នេះ ឧបករណ៍ Android ដែលខ្វះ TEE អាចត្រូវបានរកឃើញដោយប្រើ "isInsideSecureHardware" Android API ។
· អ្នកអភិវឌ្ឍន៍គួរតែធ្វើឱ្យការផ្ទៀងផ្ទាត់ជីវមាត្រមិនត្រឹមត្រូវ ប្រសិនបើការផ្លាស់ប្តូរកើតឡើងនៅក្នុងយន្តការជីវមាត្រ ដូចជាការចុះឈ្មោះស្នាមម្រាមដៃថ្មីនៅលើឧបករណ៍។ ទាំងប្រព័ន្ធប្រតិបត្តិការ iOS និង Android គាំទ្រការកំណត់សោគ្រីបកម្មវិធីដើម្បីផុតកំណត់ក្នុងការឆ្លើយតបទៅនឹងការផ្លាស់ប្តូរបែបនេះ។
· ការត្រួតពិនិត្យសុវត្ថិភាពនេះត្រូវបានយោងនៅក្នុងស្តង់ដារផ្សេងទៀត។ សូមមើលឯកសារដែលបានផ្តល់នៅក្នុង៖ o OWASP Mobile Application Security Guide Testing Guide (MASTG) v1.7.0 (2023) ទំព័រ។ 227233, 422-426 ។ o គោលការណ៍ណែនាំស្តីពីការគ្រប់គ្រងហានិភ័យបច្ចេកវិទ្យា MAS (2021), ទំព័រ។ 51. o ENISA Smartphone Secure Development Guidelines (2016), ទំព័រ។ ១១, ២៦.
15
AUTHN-BP02
គ្រប់គ្រង កម្មវិធីនេះប្រើកត្តាផ្អែកលើបរិបទដើម្បីផ្ទៀងផ្ទាត់។ ការពិពណ៌នាកត្តាផ្អែកលើបរិបទណែនាំធាតុថាមវន្តដូចជាទីតាំងអ្នកប្រើប្រាស់ និងគុណលក្ខណៈឧបករណ៍។ ខណៈពេលដែល MFA ផ្តល់នូវស្រទាប់សុវត្ថិភាពដ៏រឹងមាំដោយតម្រូវឱ្យមានកត្តាផ្ទៀងផ្ទាត់ច្រើន ការបញ្ចូលកត្តាផ្អែកលើបរិបទបង្កើតដំណើរការផ្ទៀងផ្ទាត់កាន់តែទូលំទូលាយ និងសម្របខ្លួនដែលអាចផ្តល់អត្ថប្រយោជន៍បន្ថែមក្នុងការដោះស្រាយហានិភ័យដែលកំពុងវិវត្តនៃការចូលប្រើដោយគ្មានការអនុញ្ញាត។ ការអនុវត្តកត្តាផ្អែកលើបរិបទកាត់បន្ថយការពឹងផ្អែកលើព័ត៌មានសម្ងាត់ឋិតិវន្ត ធ្វើឱ្យវាកាន់តែលំបាកសម្រាប់តួអង្គព្យាបាទក្នុងការប៉ុនប៉ងចូលប្រើដោយគ្មានការអនុញ្ញាត។ ការណែនាំអំពីការអនុវត្ត អ្នកអភិវឌ្ឍន៍គួរតែពិចារណាលើកត្តាបរិបទខាងក្រោម ដើម្បីផ្ទៀងផ្ទាត់អត្តសញ្ញាណរបស់អ្នកប្រើប្រាស់៖
· ទីតាំងភូមិសាស្ត្រ៖ អនុញ្ញាតឱ្យចូលប្រើដោយផ្អែកលើទីតាំងពិភពពិតនៃឧបករណ៍ដោយប្រើ GPS, Wi-Fi ឬទីតាំងភូមិសាស្ត្រអាសយដ្ឋាន IP ។
· ប្រភេទឧបករណ៍៖ អនុញ្ញាតឱ្យចូលប្រើដោយផ្អែកលើលក្ខណៈនៃឧបករណ៍។ ឧទាហរណ៍៖ ទំហំអេក្រង់អាចកំណត់ថាតើឧបករណ៍ណាមួយជាស្មាតហ្វូន ឬថេប្លេត។
អ្វីដែលត្រូវកត់សម្គាល់ការគ្រប់គ្រងសុវត្ថិភាពនេះត្រូវបានយោងតាមស្តង់ដារផ្សេងទៀត។ សូមយោងទៅលើឯកសារដែលបានផ្តល់ជូនក្នុង៖
· OWASP Mobile Application Security Guide Testing Guide (MASTG) v1.7.0 (2023), ទំព័រ។ 56, 58. · ENISA Smartphone Secure Development Guidelines (2016), pg. ១១.
16
AUTHN-BP03
គ្រប់គ្រងកម្មវិធីអនុវត្តការផ្ទៀងផ្ទាត់សម័យសុវត្ថិភាព។ ការពិពណ៌នា ការផ្ទៀងផ្ទាត់វគ្គសុវត្ថិភាពធានានូវការគ្រប់គ្រងសម័យដ៏រឹងមាំសម្រាប់ទាំងការផ្ទៀងផ្ទាត់ភាពគ្មានរដ្ឋ និងគ្មានរដ្ឋ។ វគ្គដែលគ្រប់គ្រងមិនបានល្អ ដោយមិនគិតពីថាតើកម្មវិធីអនុវត្តតាមវិធីផ្ទៀងផ្ទាត់ stateful4 ឬ stateless5 អាចនាំឱ្យមានការគំរាមកំហែងផ្នែកសុវត្ថិភាពដូចជាការចូលប្រើដោយគ្មានការអនុញ្ញាត ការលួចចូលវគ្គ ឬការបំពានទិន្នន័យ។ ការអនុវត្តការផ្ទៀងផ្ទាត់វគ្គដែលមានសុវត្ថិភាពសម្រាប់វគ្គដែលមានលក្ខណៈរដ្ឋ ប្រើប្រាស់ឧបករណ៍កំណត់អត្តសញ្ញាណសម័យសុវត្ថិភាព ការទំនាក់ទំនងដែលបានអ៊ិនគ្រីប និងការអស់ពេលត្រឹមត្រូវដើម្បីការពារការចូលប្រើប្រាស់ដោយគ្មានការអនុញ្ញាត។ សម្រាប់ការផ្ទៀងផ្ទាត់ភាពគ្មានរដ្ឋ វាធានាថាសញ្ញាសម្ងាត់គឺ tampធន់នឹង er រក្សាបាននូវភាពត្រឹមត្រូវនៃការផ្ទៀងផ្ទាត់ដោយមិនពឹងផ្អែកលើការផ្ទុកខាងម៉ាស៊ីនមេ។ ការណែនាំអំពីការអនុវត្ត អ្នកអភិវឌ្ឍន៍គួរតែអនុវត្តការផ្ទៀងផ្ទាត់វគ្គដែលមានសុវត្ថិភាពដោយទទួលយកការអនុវត្តល្អបំផុតខាងក្រោមសម្រាប់វិធីសាស្ត្រផ្ទៀងផ្ទាត់ដែលមានរដ្ឋ (AUTHN-BP03a) និងគ្មានរដ្ឋ (AUTHN-BP03b) សម្រាប់វគ្គ។ អ្វីដែលត្រូវកត់សម្គាល់ការគ្រប់គ្រងសុវត្ថិភាពនេះត្រូវបានយោងតាមស្តង់ដារផ្សេងទៀត។ សូមយោងទៅលើឯកសារដែលបានផ្តល់ជូនក្នុង៖
· OWASP Mobile Application Security Guide Testing Guide (MASTG) v1.7.0 (2023), ទំព័រ។ ៥១-៥៥។ · គោលការណ៍ណែនាំស្តីពីការគ្រប់គ្រងហានិភ័យបច្ចេកវិទ្យា MAS (51), ទំព័រ។ 55. · ENISA Smartphone Secure Development Guidelines (2021), ទំព័រ។ ១០.
4 ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវសំដៅទៅលើការគ្រប់គ្រងនៃស្ថានភាពសម័យនៅផ្នែកខាងម៉ាស៊ីនមេ ដែលជាធម្មតាតម្រូវឱ្យមានការប្រើប្រាស់ឧបករណ៍កំណត់សម័យ។ 5 ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវគ្មានរដ្ឋ សំដៅលើការគ្រប់គ្រងវគ្គដោយមិនរក្សាទុកព័ត៌មានទាក់ទងនឹងអ្នកប្រើប្រាស់នៅលើផ្នែកម៉ាស៊ីនមេ។
17
ការត្រួតពិនិត្យ AUTHN-BP03a កម្មវិធីអនុវត្តការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវប្រកបដោយសុវត្ថិភាព។ ការពិពណ៌នា ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវដោយសុវត្ថិភាពពាក់ព័ន្ធនឹងការការពារ និងការរក្សាវគ្គបន្ត។ ខណៈពេលដែលការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវផ្តល់នូវបទពិសោធន៍អ្នកប្រើប្រាស់យ៉ាងរលូនតាមរយៈវគ្គអ្នកប្រើប្រាស់ជាប់លាប់នោះ វាអាចងាយរងគ្រោះទៅនឹងការគំរាមកំហែងផ្នែកសុវត្ថិភាពផ្សេងៗ ដូចជាតួអង្គព្យាបាទព្យាយាមលួចឧបករណ៍កំណត់សម័យជាដើម។ ការអនុវត្តការផ្ទៀងផ្ទាត់តាមរដ្ឋដែលមានសុវត្ថិភាពការពារគណនីអ្នកប្រើប្រាស់ពីការចូលប្រើដោយគ្មានការអនុញ្ញាត និងភាពងាយរងគ្រោះដែលអាចទាក់ទងនឹងការគ្រប់គ្រងសម័យដោយមិនធ្វើឱ្យខូចតុល្យភាពរវាងលទ្ធភាពប្រើប្រាស់ និងសុវត្ថិភាព។ ការណែនាំអំពីការអនុវត្ត អ្នកអភិវឌ្ឍន៍គួរតែកំណត់អត្តសញ្ញាណចំណុចបញ្ចប់ផ្នែកខាងម៉ាស៊ីនមេ ដែលបង្ហាញព័ត៌មានរសើប ឬមុខងារសំខាន់ៗ។ អ្នកអភិវឌ្ឍន៍ក៏គួរតែទទួលយកការអនុវត្តល្អបំផុតនៃការផ្ទៀងផ្ទាត់សម័យតាមរដ្ឋខាងក្រោមផងដែរ៖
· បដិសេធសំណើដែលមានលេខសម្គាល់សម័យ ឬសញ្ញាសម្ងាត់ដែលបាត់ ឬមិនត្រឹមត្រូវ។ · បង្កើត Session IDs ដោយចៃដន្យនៅលើផ្នែក server ដោយមិនចាំបាច់បន្ថែមពួកវាទៅ URLស. · ពង្រឹងសុវត្ថិភាពលេខសម្គាល់សម័យជាមួយនឹងប្រវែងត្រឹមត្រូវ និង entropy ដែលធ្វើឱ្យការទស្សន៍ទាយពិបាក។ · ផ្លាស់ប្តូរលេខសម្គាល់សម័យលើការភ្ជាប់ HTTPS សុវត្ថិភាពប៉ុណ្ណោះ។ · ជៀសវាងការរក្សាទុកលេខសម្គាល់សម័យនៅក្នុងការផ្ទុកជាប់លាប់។ · ផ្ទៀងផ្ទាត់លេខសម្គាល់វគ្គសម្រាប់ការចូលប្រើរបស់អ្នកប្រើទៅកាន់ធាតុកម្មវិធីដែលមានសិទ្ធិ។ · បញ្ចប់វគ្គនៅផ្នែកខាងម៉ាស៊ីនមេ ការលុបព័ត៌មានសម័យនៅពេលអស់ពេល ឬចេញពីគណនី។ អ្វីដែលត្រូវកត់សម្គាល់ ប្រសិនបើមានការសង្ស័យ សូមពិចារណាប្រើវេទិកា និងពិធីការផ្ទៀងផ្ទាត់ដែលគួរឱ្យទុកចិត្ត។ ការត្រួតពិនិត្យសុវត្ថិភាពនេះត្រូវបានយោងនៅក្នុងស្តង់ដារផ្សេងទៀត។ សូមយោងទៅលើឯកសារដែលបានផ្តល់នៅក្នុង៖ · មគ្គុទ្ទេសក៍តេស្តសុវត្ថិភាពកម្មវិធីទូរស័ព្ទ OWASP (MASTG) v1.7.0 (2023), ទំព័រ។ ៥២.
18
ការត្រួតពិនិត្យ AUTHN-BP03b កម្មវិធីអនុវត្តការផ្ទៀងផ្ទាត់ភាពគ្មានរដ្ឋដែលមានសុវត្ថិភាព។ ការពិពណ៌នា ការផ្ទៀងផ្ទាត់ភាពគ្មានរដ្ឋដែលមានសុវត្ថិភាពពាក់ព័ន្ធនឹងការអនុវត្តនិមិត្តសញ្ញាសុវត្ថិភាពសម្រាប់ការផ្ទៀងផ្ទាត់ដែលមានប្រសិទ្ធភាព និងអាចធ្វើមាត្រដ្ឋានបាន។ ខណៈពេលដែលការផ្ទៀងផ្ទាត់ដោយគ្មានរដ្ឋផ្តល់អត្ថប្រយោជន៍ វាអាចងាយរងគ្រោះទៅនឹងការគំរាមកំហែងផ្នែកសុវត្ថិភាពដូចជាការក្លែងខ្លួនជាអ្នកប្រើប្រាស់ ប្រសិនបើថូខឹនមិនត្រូវបានបង្កើត បញ្ជូន និងរក្សាទុកដោយសុវត្ថិភាព។ ការអនុវត្តការផ្ទៀងផ្ទាត់ភាពគ្មានរដ្ឋដែលមានសុវត្ថិភាព ធានាថានិមិត្តសញ្ញាការផ្ទៀងផ្ទាត់នីមួយៗត្រូវបានគ្រប់គ្រងដោយសុវត្ថិភាព ខណៈពេលដែលទទួលបានអត្ថប្រយោជន៍នៃប្រសិទ្ធភាព និងការធ្វើមាត្រដ្ឋាន កាត់បន្ថយហានិភ័យនៃការចូលប្រើដោយគ្មានការអនុញ្ញាត។ ការណែនាំអំពីការអនុវត្ត អ្នកអភិវឌ្ឍន៍គួរតែទទួលយកការអនុវត្តល្អបំផុតក្នុងការផ្ទៀងផ្ទាត់វគ្គគ្មានរដ្ឋដូចខាងក្រោម៖
· បង្កើតថូខឹននៅលើផ្នែកម៉ាស៊ីនមេដោយមិនបន្ថែមពួកវាទៅ URLស. · បង្កើនសុវត្ថិភាពថូខឹនជាមួយនឹងប្រវែងត្រឹមត្រូវ និង entropy ដែលធ្វើឱ្យការទស្សន៍ទាយពិបាក។ · ផ្លាស់ប្តូរថូខឹនតែលើការភ្ជាប់ HTTPS សុវត្ថិភាពប៉ុណ្ណោះ។ · ផ្ទៀងផ្ទាត់ថាគ្មានទិន្នន័យរសើប ដូចជា PII ត្រូវបានបង្កប់ក្នុងសញ្ញាសម្ងាត់ទេ។ · ជៀសវាងការរក្សាទុកថូខឹននៅក្នុងការផ្ទុកជាប់លាប់។ · ផ្ទៀងផ្ទាត់សញ្ញាសម្ងាត់សម្រាប់ការចូលប្រើរបស់អ្នកប្រើទៅកាន់ធាតុកម្មវិធីដែលមានសិទ្ធិ។ · បញ្ចប់ថូខឹននៅលើផ្នែកម៉ាស៊ីនមេ ការលុបព័ត៌មានថូខឹននៅពេលអស់ពេល ឬចេញពីគណនី។ · ចុះហត្ថលេខាលើសញ្ញាសម្ងាត់ដោយប្រើក្បួនដោះស្រាយសុវត្ថិភាព ជៀសវាងការប្រើក្បួនដោះស្រាយ null ។ អ្វីដែលគួរកត់សម្គាល់ · ប្រសិនបើមានការសង្ស័យ សូមពិចារណាប្រើវេទិកា និងពិធីការផ្ទៀងផ្ទាត់ដែលគួរឱ្យទុកចិត្ត។ · ការត្រួតពិនិត្យសុវត្ថិភាពនេះត្រូវបានយោងនៅក្នុងស្តង់ដារផ្សេងទៀត។ សូមយោងទៅលើឯកសារ
ផ្តល់ជូនក្នុង៖ o មគ្គុទ្ទេសក៍តេស្តសុវត្ថិភាពកម្មវិធីទូរស័ព្ទ OWASP (MASTG) v1.7.0 (2023), ទំព័រ។ ៥២-៥៣។
19
AUTHN-BP04
គ្រប់គ្រងកម្មវិធីអនុវត្តការបិទវគ្គប្រកបដោយសុវត្ថិភាព អំឡុងពេលចេញពីគណនី អសកម្ម ឬបិទកម្មវិធី។ ការពិពណ៌នា ការបញ្ចប់វគ្គសុវត្ថិភាពធានានូវការបិទវគ្គអ្នកប្រើប្រាស់ប្រកបដោយប្រសិទ្ធភាព។ នៅក្នុងសេណារីយ៉ូដូចជាការចាកចេញ ភាពអសកម្ម ឬសេណារីយ៉ូបិទកម្មវិធី វាមានសក្តានុពលសម្រាប់តួអង្គព្យាបាទក្នុងការទាញយកចំណុចចូលដំណើរការដែលនៅបន្តបន្ទាប់ ប្រសិនបើវគ្គមិនត្រូវបានគ្រប់គ្រងឱ្យបានត្រឹមត្រូវ។ ការអនុវត្តការបញ្ចប់វគ្គប្រកបដោយសុវត្ថិភាព អំឡុងពេលចេញពីគណនី ភាពអសកម្ម ឬការបិទកម្មវិធីអាចកាត់បន្ថយយ៉ាងខ្លាំងនូវហានិភ័យនៃការចូលប្រើដោយគ្មានការអនុញ្ញាត ដោយបិទវគ្គអ្នកប្រើប្រាស់ដោយស្វ័យប្រវត្តិ និងការពារព័ត៌មានអ្នកប្រើប្រាស់ពីការចូលប្រើដោយភាគីដែលគ្មានការអនុញ្ញាត។ ការណែនាំអំពីការអនុវត្ត អ្នកអភិវឌ្ឍន៍គួរតែផ្ទៀងផ្ទាត់អ្នកប្រើប្រាស់ឡើងវិញបន្ទាប់ពីចេញពីគណនី ភាពអសកម្មនៃកម្មវិធី ភាពទំនេរ ផ្ទៃខាងក្រោយ ការអស់ពេលនៃវគ្គទាំងស្រុង ឬការបិទ/បង្ខំភ្លាមៗ។ អ្នកអភិវឌ្ឍន៍ក៏គួរតែបង្កើតឧបករណ៍កំណត់អត្តសញ្ញាណសម័យថ្មីនៅលើម៉ាស៊ីនមេ នៅពេលណាដែលអ្នកប្រើប្រាស់ផ្លាស់ទីឡើងដល់កម្រិតការផ្ទៀងផ្ទាត់ថ្មី ដើម្បីការពារការជួសជុលសម័យ។ អ្វីដែលត្រូវកត់សម្គាល់
· អ្នកអភិវឌ្ឍន៍គួរតែធានាថាការបញ្ចប់វគ្គរួមមានការជម្រះ ឬការដកសិទ្ធិសម្ងាត់ដែលបានរក្សាទុកក្នុងមូលដ្ឋានទាំងអស់ ឬឧបករណ៍កំណត់អត្តសញ្ញាណសម័យ។
· អ្នកអភិវឌ្ឍន៍គួរតែកំណត់តម្លៃនៃការអស់ពេលទំនេរដោយផ្អែកលើហានិភ័យ និងធម្មជាតិនៃសេវាកម្មហិរញ្ញវត្ថុ។
· ការត្រួតពិនិត្យសុវត្ថិភាពនេះត្រូវបានយោងនៅក្នុងស្តង់ដារផ្សេងទៀត។ សូមមើលឯកសារដែលបានផ្តល់នៅក្នុង៖ o OWASP Mobile Application Security Guide Testing Guide (MASTG) v1.7.0 (2023) ទំព័រ។ 55-56, 58. o ការណែនាំអំពីការគ្រប់គ្រងហានិភ័យបច្ចេកវិទ្យា MAS (2021), ទំព័រ។ 51. o ENISA Smartphone Secure Development Guidelines (2016), ទំព័រ។ ១១.
20
AUTHN-BP05
គ្រប់គ្រងកម្មវិធីអនុវត្តការការពារដោយបង្ខំសម្រាប់ការផ្ទៀងផ្ទាត់។ ការពិពណ៌នា ការវាយប្រហារដោយកម្លាំង Brute ពាក់ព័ន្ធនឹងការប៉ុនប៉ងដោយស្វ័យប្រវត្តិ និងជាប្រព័ន្ធដើម្បីទស្សន៍ទាយអត្តសញ្ញាណអ្នកប្រើប្រាស់ ឧទាហរណ៍ample ដោយព្យាយាមបន្សំផ្សេងៗនៃឈ្មោះអ្នកប្រើប្រាស់ និងពាក្យសម្ងាត់ដើម្បីទទួលបានការចូលប្រើប្រាស់ដោយគ្មានការអនុញ្ញាត។ ការការពារកម្លាំង Brute ដាក់កម្រិតចំនួននៃការប៉ុនប៉ងចូលក្នុងរយៈពេលជាក់លាក់មួយ។ ការអនុវត្តការការពារកម្លាំង brute force សម្រាប់ការផ្ទៀងផ្ទាត់អាចកាត់បន្ថយយ៉ាងខ្លាំងនូវហានិភ័យនៃការចូលប្រើដោយគ្មានការអនុញ្ញាត ការពារគណនីអ្នកប្រើប្រាស់ និងរក្សាភាពត្រឹមត្រូវនៃដំណើរការផ្ទៀងផ្ទាត់។ ការណែនាំអំពីការអនុវត្ត អ្នកអភិវឌ្ឍន៍គួរតែអនុវត្តយន្តការកម្លាំងសាហាវ តាមរយៈការអនុវត្តល្អបំផុតខាងក្រោម៖
· អនុវត្តការត្រួតពិនិត្យប្រឆាំងនឹងស្វ័យប្រវត្តិកម្ម។ · អនុវត្តការកំណត់អត្រាសម្រាប់ការប៉ុនប៉ងចូល។ · បញ្ចូលការពន្យាពេលបន្ថែមជាលំដាប់ (ឧទាហរណ៍ 30 វិនាទី 1 នាទី 2 នាទី 5
នាទី) សម្រាប់ការព្យាយាមចូល។ · អនុវត្តការចាក់សោគណនី។ អ្វីដែលគួរកត់សម្គាល់ · អ្នកអភិវឌ្ឍន៍គួរកត់សម្គាល់ថាយន្តការ MFA ទាំងអស់គឺងាយរងគ្រោះដោយកម្លាំង brute ។ · អ្នកអភិវឌ្ឍន៍គួរតែបង្ហាញពីហេតុផលសម្រាប់ការបិទគណនី និងផ្តល់មធ្យោបាយដែលអាចចូលប្រើបាន។
ដើម្បីឱ្យអ្នកប្រើប្រាស់ផ្ទៀងផ្ទាត់ខ្លួនឯង និងដកការចាក់សោចេញ។ ឧamples រួមបញ្ចូលការហៅទូរស័ព្ទទៅបណ្តាញជំនួយ ឬប្រើប្រាស់ការផ្ទៀងផ្ទាត់ជីវមាត្រ។ · ការត្រួតពិនិត្យសុវត្ថិភាពនេះត្រូវបានយោងនៅក្នុងស្តង់ដារផ្សេងទៀត។ សូមយោងទៅលើឯកសារដែលបានផ្តល់ជូនក្នុង៖
o ENISA Smartphone Secure Development Guidelines (2016), ទំព័រ។ ១០, ១៦.
21
AUTHN-BP06
គ្រប់គ្រងកម្មវិធីអនុវត្តយន្តការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវប្រតិបត្តិការ។ ការពិពណ៌នា ខណៈពេលដែលការផ្ទៀងផ្ទាត់ធានានូវអត្តសញ្ញាណរបស់អ្នកប្រើប្រាស់ វាមិនលុបបំបាត់លទ្ធភាពនៃសកម្មភាពក្លែងបន្លំក្នុងអំឡុងពេលដំណើរការប្រតិបត្តិការនោះទេ។ យន្តការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវនៃប្រតិបត្តិការគឺជាមុខងារសុវត្ថិភាពជំនួយដែលផ្តល់ឱ្យអ្នកប្រើប្រាស់នូវពេលវេលា និងឧបករណ៍ដើម្បីប្រតិកម្មទៅនឹងការក្លែងបន្លំដែលអាចកើតមាន។ ការអនុវត្តយន្តការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវនៃប្រតិបត្តិការ ធានាថាប្រតិបត្តិការនីមួយៗឆ្លងកាត់ការត្រួតពិនិត្យយ៉ាងម៉ត់ចត់ ដើម្បីបញ្ជាក់ភាពត្រឹមត្រូវ និងភាពត្រឹមត្រូវរបស់វា។ ការណែនាំអំពីការអនុវត្ត អ្នកអភិវឌ្ឍន៍អាចអនុវត្តការអនុវត្តល្អបំផុតដែលបានស្នើខាងក្រោម៖
· ចាប់ផ្តើមការផ្ទៀងផ្ទាត់ប្រតិបត្តិការ/ការហៅទូរសព្ទបញ្ជាក់។ · ផ្តល់ប្រវត្តិប្រតិបត្តិការតាមពេលវេលាជាក់ស្តែង។ · អនុវត្តរយៈពេលត្រជាក់ពី 12 ម៉ោងទៅ 24 ម៉ោង។ · បិទប្រតិបត្តិការក្រៅប្រទេសតាមលំនាំដើម។ បើកដំណើរការតែតាមរយៈ MFA ប៉ុណ្ណោះ។ អ្វីដែលត្រូវកត់សម្គាល់ការគ្រប់គ្រងសុវត្ថិភាពនេះត្រូវបានយោងតាមស្តង់ដារផ្សេងទៀត។ សូមយោងទៅលើឯកសារដែលបានផ្តល់នៅក្នុង៖ · មគ្គុទ្ទេសក៍តេស្តសុវត្ថិភាពកម្មវិធីទូរស័ព្ទ OWASP (MASTG) v1.7.0 (2023), ទំព័រ។ ៥៧-៥៨។
22
23
2. ការអនុញ្ញាត
សេចក្តីផ្តើម
សុវត្ថិភាពនៃការអនុញ្ញាតដំណើរការដោយភ្ជាប់ជាមួយសុវត្ថិភាពនៃការផ្ទៀងផ្ទាត់។ សុវត្ថិភាពនៃការអនុញ្ញាតនៅក្នុងកម្មវិធីទូរស័ព្ទគឺជាខ្សែការពារដ៏សំខាន់មួយ ដោយសារវាកំណត់ថាអ្នកណាអាចចូលប្រើធនធានអ្វីខ្លះនៅក្នុងកម្មវិធីមួយ។ វាបង្កើតការគ្រប់គ្រងជាប្រព័ន្ធ និងផ្តល់សុពលភាពសិទ្ធិចូលប្រើរបស់អ្នកប្រើប្រាស់នៅក្នុងកម្មវិធីមួយ។
អ្នកអភិវឌ្ឍន៍អាចធានាថាមានតែអ្នកប្រើប្រាស់ អតិថិជន កម្មវិធី និងឧបករណ៍ដែលមានការអនុញ្ញាតប៉ុណ្ណោះដែលអាចចូលប្រើធនធានជាក់លាក់ ឬអនុវត្តសកម្មភាពជាក់លាក់ដោយអនុវត្តការគ្រប់គ្រងការអនុញ្ញាតដ៏រឹងមាំ និងការដំឡើងការអនុញ្ញាត។ តាមរយៈការត្រួតពិនិត្យការអនុញ្ញាត អ្នកអភិវឌ្ឍន៍ក៏អាចកាត់បន្ថយហានិភ័យនៃការចូលប្រើទិន្នន័យដោយគ្មានការអនុញ្ញាត រក្សាភាពត្រឹមត្រូវនៃទិន្នន័យរសើប រក្សាភាពឯកជនរបស់អ្នកប្រើប្រាស់ និងការពារសុចរិតភាពនៃមុខងារប្រតិបត្តិការដែលមានហានិភ័យខ្ពស់។ ទោះបីជាការអនុវត្តយន្តការទាំងនេះត្រូវតែស្ថិតនៅចំណុចដាច់ស្រយាលក៏ដោយ ក៏វាមានសារៈសំខាន់ដូចគ្នាសម្រាប់កម្មវិធីភាគីអតិថិជនក្នុងការអនុវត្តតាមការអនុវត្តល្អបំផុតដែលពាក់ព័ន្ធ ដើម្បីធានាការប្រើប្រាស់ប្រកបដោយសុវត្ថិភាពនៃពិធីការអនុញ្ញាតដែលពាក់ព័ន្ធ។
ការគ្រប់គ្រងនៅក្នុងប្រភេទនេះផ្តល់នូវការត្រួតពិនិត្យសុវត្ថិភាពដែលមានការអនុញ្ញាត ដែលកម្មវិធីគួរតែអនុវត្តដើម្បីការពារទិន្នន័យរសើប និងការពារការចូលប្រើប្រាស់ដោយគ្មានការអនុញ្ញាត។ វាក៏ផ្តល់ឱ្យអ្នកអភិវឌ្ឍន៍នូវការអនុវត្តល្អបំផុតដែលពាក់ព័ន្ធអំពីរបៀបអនុវត្តការត្រួតពិនិត្យសុវត្ថិភាពទាំងនេះផងដែរ។
ការគ្រប់គ្រងសុវត្ថិភាព
ID
គ្រប់គ្រង
AUTHOR-BP01 អនុវត្តការអនុញ្ញាតខាងម៉ាស៊ីនមេ។
AUTHOR-BP02 អនុវត្តការអនុញ្ញាតពីភាគីអតិថិជនតាមរយៈការភ្ជាប់ឧបករណ៍។
AUTHOR-BP03 ជូនដំណឹងដល់អ្នកប្រើប្រាស់អំពីការអនុញ្ញាតដែលត្រូវការទាំងអស់ មុនពេលពួកគេចាប់ផ្តើមប្រើប្រាស់កម្មវិធី។
AUTHOR-BP04
ជូនដំណឹងដល់អ្នកប្រើប្រាស់សម្រាប់ប្រតិបត្តិការដែលមានហានិភ័យខ្ពស់ទាំងអស់ដែលត្រូវបានអនុញ្ញាត និងបានបញ្ចប់។
24
AUTHOR-BP01
គ្រប់គ្រងកម្មវិធីអនុវត្តការអនុញ្ញាតពីខាងម៉ាស៊ីនមេ។ ការពិពណ៌នាការអនុញ្ញាតពីខាងម៉ាស៊ីនមេ សំដៅលើការបញ្ជាក់ និងផ្តល់សិទ្ធិចូលប្រើទៅកាន់អ្នកប្រើប្រាស់ ឬកម្មវិធីដោយម៉ាស៊ីនមេ ឬម៉ាស៊ីនមេអនុញ្ញាត។ នេះធានាថាការសម្រេចចិត្ត និងការអនុញ្ញាតគ្រប់គ្រងការចូលប្រើត្រូវបានគ្រប់គ្រង និងអនុវត្តនៅផ្នែកខាងម៉ាស៊ីនមេ ជាជាងអតិថិជន។ តាមរយៈការអនុវត្តការអនុញ្ញាតផ្នែកខាងម៉ាស៊ីនមេ អ្នកអភិវឌ្ឍន៍កាត់បន្ថយឱកាសសម្រាប់អ្នកវាយប្រហារដែលមានគំនិតអាក្រក់amper ឬរំលងវិធានការសុវត្ថិភាពនៅលើកម្មវិធីដើម្បីទទួលបានការចូលប្រើដោយគ្មានការអនុញ្ញាតចំពោះទិន្នន័យរសើប (ឧទាហរណ៍ PIIs និងទិន្នន័យផ្ទៀងផ្ទាត់)។ ការណែនាំអំពីការអនុវត្ត អ្នកអភិវឌ្ឍន៍គួរតែអនុវត្តការអនុញ្ញាតផ្នែកខាងម៉ាស៊ីនមេ បន្ទាប់ពីការផ្ទៀងផ្ទាត់ដោយជោគជ័យ មុនពេលផ្តល់ការអនុញ្ញាតចូលប្រើប្រាស់។ អ្នកអភិវឌ្ឍន៍គួរតែធានាថាអ្នកប្រើប្រាស់ត្រូវបានផ្តល់សិទ្ធិចូលប្រើប្រាស់ដោយផ្អែកលើដូចខាងក្រោម៖
· តួនាទីដែលត្រូវបានចាត់តាំងដោយមានការអនុញ្ញាត៖ ត្រូវប្រាកដថាអ្នកប្រើប្រាស់អាចអនុវត្តភារកិច្ចដែលទាក់ទងនឹងទំនួលខុសត្រូវរបស់ពួកគេតែប៉ុណ្ណោះ។
· កត្តាបរិបទ៖ សេណារីយ៉ូនៃការចូលប្រើថាមវន្ត ដូចជាពេលវេលានៃការចូលប្រើប្រាស់ និងការវិភាគអាកប្បកិរិយា។
អ្វីដែលត្រូវកត់សម្គាល់ការគ្រប់គ្រងសុវត្ថិភាពនេះត្រូវបានយោងតាមស្តង់ដារផ្សេងទៀត។ សូមយោងទៅលើឯកសារដែលបានផ្តល់ជូនក្នុង៖
· OWASP Mobile Application Security Guide Testing Guide (MASTG) v1.7.0 (2023), ទំព័រ។ 50-55, 58. · គោលការណ៍ណែនាំស្តីពីសុវត្ថិភាពនៃការទទួលយកការទូទាត់តាមទូរស័ព្ទ PCI v2.0.0 (2017), ទំព័រ។ 10. · ENISA Smartphone Secure Development Guidelines (2016), ទំព័រ។ ១០-១១។
25
AUTHOR-BP02
គ្រប់គ្រងកម្មវិធីអនុវត្តការអនុញ្ញាតពីភាគីអតិថិជនតាមរយៈការភ្ជាប់ឧបករណ៍។
ការពិពណ៌នា
ការអនុញ្ញាតពីភាគីអតិថិជន គឺជាដំណើរការនៃការគ្រប់គ្រងការអនុញ្ញាតចូលប្រើប្រាស់នៅក្នុងកម្មវិធីទូរស័ព្ទ។ នេះគឺប្រថុយប្រថាន ដោយសារការពឹងផ្អែកលើភាគីអតិថិជនអាចបង្ហាញកម្មវិធីចំពោះភាពងាយរងគ្រោះដូចជាការចូលប្រើដោយគ្មានការអនុញ្ញាត និងការក្លែងបន្លំដែលអាចកើតមាន។
ប្រសិនបើមុខងារអាជីវកម្មរបស់កម្មវិធី (ឧ. ការធ្វើឱ្យកូដកម្មកម្មវិធីភ្លាមៗ) ទាមទារការអនុញ្ញាតពីភាគីអតិថិជន ការចងឧបករណ៍ (ការអនុវត្តសុវត្ថិភាពដែលភ្ជាប់ការអនុញ្ញាតឱ្យចូលប្រើសិទ្ធិលើឧបករណ៍ជាក់លាក់) ត្រូវបានណែនាំ។ តាមរយៈការអនុវត្តការភ្ជាប់ឧបករណ៍ កម្មវិធីអាចផ្ទៀងផ្ទាត់អត្តសញ្ញាណឧបករណ៍ និងបង្កើតការជឿទុកចិត្តបាន។ វាកាត់បន្ថយហានិភ័យដែលទាក់ទងនឹងការចូលប្រើដោយគ្មានការអនុញ្ញាត និងរក្សាផ្លូវដែលមានសុវត្ថិភាព និងជឿទុកចិត្តរវាងឧបករណ៍ កម្មវិធី និងម៉ាស៊ីនមេ។
ការណែនាំអំពីការអនុវត្ត
អ្នកអភិវឌ្ឍន៍គួរតែបង្កើតការចងរវាងកម្មវិធី និងឧបករណ៍ នៅពេលដែលអត្តសញ្ញាណរបស់អ្នកប្រើត្រូវបានប្រើជាលើកដំបូងនៅលើឧបករណ៍ចល័តដែលមិនបានចុះឈ្មោះ។
អ្នកអភិវឌ្ឍន៍ក៏គួរតែផ្ទៀងផ្ទាត់កម្មវិធីនោះផងដែរ៖
· ពិនិត្យមើលការកែប្រែឧបករណ៍ចាប់តាំងពីពេលដំណើរការចុងក្រោយ។ · ពិនិត្យមើលការកែប្រែចំពោះឧបករណ៍សម្គាល់អត្តសញ្ញាណឧបករណ៍។ · ពិនិត្យមើលថាឧបករណ៍ដែលដំណើរការកម្មវិធីគឺស្ថិតក្នុងស្ថានភាពសុវត្ថិភាព (ឧ. គ្មានការ jailbreak ឬ rooting)។ ខាងលើគ្រាន់តែជាអតីតមួយចំនួនប៉ុណ្ណោះ។amples នៃបច្ចេកទេសអនុវត្តល្អបំផុតដែលប្រើដោយឧស្សាហកម្ម។ នៅពេលដែលប្រព័ន្ធអេកូនៃឧបករណ៍ចល័តមានការវិវឌ្ឍន៍ បច្ចេកទេសទាំងនេះអាចនឹងហួសសម័យ។ ដូច្នេះហើយ អ្នកអភិវឌ្ឍន៍គួរតែរក្សាឱ្យបាននូវការអនុវត្តល្អបំផុតក្នុងឧស្សាហកម្មចុងក្រោយបំផុត ដើម្បីផ្ទៀងផ្ទាត់ការភ្ជាប់ឧបករណ៍។ អ្វីដែលត្រូវកត់សម្គាល់
ដើម្បីផ្ទៀងផ្ទាត់ឧបករណ៍នៅលើឧបករណ៍ Android អ្នកអភិវឌ្ឍន៍អាច៖
· ទទួលបានឧបករណ៍កំណត់អត្តសញ្ញាណពិសេសដូចជា IMEI ឬលេខសម្គាល់ Android ។ · ទាញយកព័ត៌មានសំណង់។ · ប្រើប្រាស់មុខងារ API ដើមរបស់ OS ដូចជា SafetyNet របស់ Google ជាដើម។
ដើម្បីផ្ទៀងផ្ទាត់ឧបករណ៍នៅលើឧបករណ៍ iOS អ្នកអភិវឌ្ឍន៍អាច៖
· ប្រើប្រាស់សេវាកម្ម OS ដើម ដូចជាលេខសម្គាល់ឧបករណ៍របស់ Apple តាមរយៈ UIDevice ។
ការត្រួតពិនិត្យសុវត្ថិភាពនេះត្រូវបានយោងនៅក្នុងស្តង់ដារផ្សេងទៀត។ សូមយោងទៅលើឯកសារដែលបានផ្តល់ជូនក្នុង៖
· OWASP Mobile Application Security Guide Testing Guide (MASTG) v1.7.0 (2023), ទំព័រ។ 316-317, 516. · ការណែនាំអំពីការគ្រប់គ្រងហានិភ័យបច្ចេកវិទ្យា MAS (2021), ទំព័រ។ ៥១, ៥៦.
26
AUTHOR-BP03
គ្រប់គ្រងកម្មវិធីជូនដំណឹងដល់អ្នកប្រើប្រាស់អំពីការអនុញ្ញាតដែលត្រូវការទាំងអស់ មុនពេលពួកគេចាប់ផ្តើមប្រើប្រាស់កម្មវិធី។ ការពិពណ៌នាការអនុញ្ញាតដែលទាមទារគឺជាសិទ្ធិ និងសមត្ថភាពជាក់លាក់ដែលកម្មវិធីស្នើសុំពីឧបករណ៍ចល័ត។ ការអនុញ្ញាតទាំងនេះកំណត់ថាតើធនធាន ឬមុខងារអ្វីខ្លះដែលកម្មវិធីអាចចូលប្រើនៅលើឧបករណ៍របស់អ្នកប្រើប្រាស់។ អតីតខ្លះamples រួមបញ្ចូល ប៉ុន្តែមិនកំណត់ចំពោះ កាមេរ៉ា មីក្រូហ្វូន ទីតាំង។ល។ តាមរយៈការអនុវត្តការជូនដំណឹងត្រឹមត្រូវដែលជូនដំណឹងដល់អ្នកប្រើប្រាស់អំពីអ្វីដែលត្រូវបានស្នើសុំការអនុញ្ញាត អ្នកអភិវឌ្ឍន៍អាចការពារអ្នកប្រើប្រាស់ពីការអនុញ្ញាតលើសលប់ដោយមិនដឹងខ្លួន ដែលអាចអនុញ្ញាតឱ្យតួអង្គព្យាបាទអាចទាញយកប្រយោជន៍ពីភាពងាយរងគ្រោះ។ និងលួចទិន្នន័យរសើប (ឧទាហរណ៍ PIIs និងទិន្នន័យផ្ទៀងផ្ទាត់)។ ការជូនដំណឹងបែបនេះក៏នឹងអនុញ្ញាតឱ្យអ្នកប្រើប្រាស់ធ្វើការសម្រេចចិត្តដែលមានព័ត៌មានអំពីកម្មវិធីដែលពួកគេដំឡើងផងដែរ។ ការណែនាំអំពីការអនុវត្ត អ្នកអភិវឌ្ឍន៍គួរតែប្រើការជូនដំណឹងក្នុងកម្មវិធី (In-App) ដើម្បីស្នើសុំអ្នកប្រើប្រាស់សម្រាប់ការអនុញ្ញាតចូលប្រើប្រាស់។ អ្នកអភិវឌ្ឍន៍ក៏គួរតែធានាថាការជូនដំណឹង/ការជូនដំណឹងមិនបង្ហាញទិន្នន័យរសើបឡើយ។ អ្វីដែលត្រូវកត់សម្គាល់ អ្នកអភិវឌ្ឍន៍គួរតែស្នើសុំការអនុញ្ញាតសំខាន់ៗសម្រាប់មុខងាររបស់កម្មវិធីប៉ុណ្ណោះ។ ការត្រួតពិនិត្យសុវត្ថិភាពនេះត្រូវបានយោងនៅក្នុងស្តង់ដារផ្សេងទៀត។ សូមយោងទៅលើឯកសារដែលបានផ្តល់ជូនក្នុង៖
· OWASP Mobile Application Security Guide Testing Guide (MASTG) v1.7.0 (2023), ទំព័រ។ 56, 58. · ENISA Smartphone Secure Development Guidelines (2016), pg. 8, 18, 28. · មគ្គុទ្ទេសក៍អ្នកអភិវឌ្ឍន៍ Apple ស្តីពីភាពឯកជន, https://developer.apple.com/design/human-interface-
គោលការណ៍ណែនាំ/ឯកជនភាព (ខែមករា ឆ្នាំ 2024)។ · មគ្គុទ្ទេសក៍អ្នកអភិវឌ្ឍន៍ Android ស្តីពីភាពឯកជន https://developer.android.com/quality/privacy-and-
សន្តិសុខ (មករា 2024)។
27
AUTHOR-BP04
គ្រប់គ្រងកម្មវិធីជូនដំណឹងដល់អ្នកប្រើប្រាស់សម្រាប់ប្រតិបត្តិការដែលមានហានិភ័យខ្ពស់ទាំងអស់ដែលត្រូវបានអនុញ្ញាត និងបានបញ្ចប់។
ការពិពណ៌នា ប្រសិនបើកម្មវិធីមានមុខងារប្រតិបត្តិការដែលមានហានិភ័យខ្ពស់ អ្នកប្រើប្រាស់គួរតែត្រូវបានជូនដំណឹងភ្លាមៗ នៅពេលដែលប្រតិបត្តិការត្រូវបានអនុញ្ញាត និងបញ្ចប់។ តាមរយៈការអនុវត្តការគ្រប់គ្រងនេះ អ្នកអភិវឌ្ឍន៍អាចធានាថាអ្នកប្រើប្រាស់ត្រូវបានដឹងភ្លាមៗនៅពេលដែលប្រតិបត្តិការដែលមានហានិភ័យខ្ពស់ត្រូវបានអនុញ្ញាត និងបានបញ្ចប់ ដូច្នេះពួកគេអាចកំណត់អត្តសញ្ញាណប្រតិបត្តិការក្លែងបន្លំដែលមានសក្តានុពលឱ្យបានឆាប់តាមដែលអាចធ្វើទៅបាន។
ការណែនាំអំពីការអនុវត្ត អ្នកអភិវឌ្ឍន៍គួរតែអនុវត្តវិធីសាស្ត្រខាងក្រោម ដើម្បីជូនដំណឹងដល់អ្នកប្រើប្រាស់៖
· ការជូនដំណឹងក្នុងកម្មវិធី (ក្នុងកម្មវិធី) ។ · ការជូនដំណឹងតាមអ៊ីមែល។ · ការជូនដំណឹងអំពីសេវាកម្មសារខ្លី (SMS) ។ អ្នកអភិវឌ្ឍន៍ក៏គួរតែធានាថាការជូនដំណឹង/ការជូនដំណឹងមិនបង្ហាញទិន្នន័យរសើបឡើយ។
ខាងលើគ្រាន់តែជាអតីតមួយចំនួនប៉ុណ្ណោះ។amples of the best-practice notification techniques used by the industry. នៅពេលដែលប្រព័ន្ធអេកូនៃឧបករណ៍ចល័តមានការវិវឌ្ឍន៍ បច្ចេកទេសទាំងនេះអាចនឹងហួសសម័យ។ ដូច្នេះហើយ អ្នកអភិវឌ្ឍន៍គួរតែរក្សាឱ្យបាននូវការអនុវត្តល្អបំផុតក្នុងឧស្សាហកម្មចុងក្រោយបំផុត ដើម្បីជូនដំណឹងដល់អ្នកប្រើប្រាស់អំពីប្រតិបត្តិការដែលមានហានិភ័យខ្ពស់ដែលត្រូវបានអនុញ្ញាត និងបានបញ្ចប់។
អ្វីដែលត្រូវកត់សម្គាល់ អ្នកអភិវឌ្ឍន៍គួរតែស្នើសុំការអនុញ្ញាតសំខាន់ៗសម្រាប់មុខងាររបស់កម្មវិធីប៉ុណ្ណោះ។
ការត្រួតពិនិត្យសុវត្ថិភាពនេះត្រូវបានយោងនៅក្នុងស្តង់ដារផ្សេងទៀត។ សូមយោងទៅលើឯកសារដែលបានផ្តល់ជូនក្នុង៖
· គោលការណ៍ណែនាំស្តីពីការគ្រប់គ្រងហានិភ័យបច្ចេកវិទ្យា MAS (2021), ទំព័រ។ 52. · គោលការណ៍ណែនាំស្តីពីសុវត្ថិភាពនៃការទទួលយកការទូទាត់តាមទូរស័ព្ទ PCI v2.0.0 (2017), ទំព័រ។ 10. · ENISA Smartphone Secure Development Guidelines (2016), ទំព័រ។ 8. · Apple Developer Guide on Privacy, https://developer.apple.com/design/human-interface-
គោលការណ៍ណែនាំ/ឯកជនភាព (ខែមករា ឆ្នាំ 2024)។ · មគ្គុទ្ទេសក៍អ្នកអភិវឌ្ឍន៍ Android ស្តីពីភាពឯកជន https://developer.android.com/quality/privacy-and-
សន្តិសុខ (មករា 2024)។
28
29
3. ការផ្ទុកទិន្នន័យ (Data-at-Rest)
សេចក្តីផ្តើម
សុវត្ថិភាពនៃការផ្ទុកទិន្នន័យសម្រាប់ទិន្នន័យពេលសម្រាក ពាក់ព័ន្ធនឹងការការពារភាពត្រឹមត្រូវ និងការសម្ងាត់នៃទិន្នន័យរសើប (ឧទាហរណ៍ PIIs និងទិន្នន័យផ្ទៀងផ្ទាត់) ដែលរក្សាទុកក្នុងមូលដ្ឋាននៅលើឧបករណ៍ភាគីអតិថិជន និងផ្នែកម៉ាស៊ីនមេ នៅពេលដែលវាមិនត្រូវបានប្រើប្រាស់ ឬបញ្ជូនយ៉ាងសកម្ម។ នេះរួមបញ្ចូលទាំងការអនុវត្តល្អបំផុត វិធានការការពារ និងបច្ចេកទេសអ៊ិនគ្រីបដែលប្រើដើម្បីធានាទិន្នន័យដែលរក្សាទុកក្នុងមូលដ្ឋានទិន្នន័យ។ files, ឃ្លាំងសម្ងាត់, អង្គចងចាំ និងបរិស្ថានប្រតិបត្តិដែលជឿទុកចិត្ត (TEE) នៅលើឧបករណ៍ចល័ត និងតំបន់ស្រដៀងគ្នានៅក្នុងម៉ាស៊ីនមេកម្មវិធី។
អ្នកអភិវឌ្ឍន៍អាចធានាថាទិន្នន័យអ្នកប្រើប្រាស់ត្រូវបានរក្សាទុក និងការពារដោយការអនុវត្តការគ្រប់គ្រងសុវត្ថិភាពខ្លាំងសម្រាប់ការរក្សាទុកទិន្នន័យនៅពេលសម្រាក។ ការគ្រប់គ្រងទិន្នន័យនៅពេលសម្រាកបានត្រឹមត្រូវក៏ធានាថាកម្មវិធីអាចកាត់បន្ថយហានិភ័យនៃការចូលប្រើដោយគ្មានការអនុញ្ញាត ការសម្របសម្រួលឧបករណ៍ ការបំពានទិន្នន័យដែលអាចកើតមាន និងការលេចធ្លាយទិន្នន័យ និងពង្រឹងការការពារកម្មវិធី។
ការត្រួតពិនិត្យខាងក្រោមធានាថាទិន្នន័យរសើបណាមួយដែលរក្សាទុកដោយចេតនាដោយកម្មវិធីត្រូវបានការពារយ៉ាងគ្រប់គ្រាន់ ដោយមិនគិតពីទីតាំងគោលដៅ។ វាក៏គ្របដណ្តប់លើការលេចធ្លាយដោយអចេតនាផងដែរ ដោយសារតែការប្រើប្រាស់មិនត្រឹមត្រូវនៃ APIs ឬសមត្ថភាពប្រព័ន្ធ។
ការគ្រប់គ្រងសុវត្ថិភាព
ID
គ្រប់គ្រង
STORAGE-BP01 រក្សាទុកទិន្នន័យរសើប ដែលចាំបាច់សម្រាប់តែប្រតិបត្តិការប៉ុណ្ណោះ។
STORAGE-BP02 អនុវត្តការផ្ទុកទិន្នន័យរសើបដោយសុវត្ថិភាព។
STORAGE-BP02a រក្សាទុកទិន្នន័យរសើបដោយសុវត្ថិភាពនៅលើផ្នែកម៉ាស៊ីនមេ។
ស្តុក-BP02b
រក្សាទុកទិន្នន័យរសើបដោយសុវត្ថិភាពនៅលើផ្នែកអតិថិជននៅក្នុងបរិយាកាសប្រតិបត្តិដែលជឿទុកចិត្ត (TEE) ។
STORAGE-BP03 លុបទិន្នន័យរសើបនៅពេលដែលមិនចាំបាច់ទៀតទេ។
30
ស្តុក-BP01
គ្រប់គ្រងកម្មវិធីរក្សាទុកទិន្នន័យរសើប ដែលចាំបាច់សម្រាប់តែប្រតិបត្តិការប៉ុណ្ណោះ។ ការពិពណ៌នា ទិន្នន័យរសើបត្រូវបានកំណត់ថាជាទិន្នន័យអ្នកប្រើប្រាស់ (PIIs) និងទិន្នន័យផ្ទៀងផ្ទាត់ (ឧ. អត្តសញ្ញាណប័ណ្ណ សោអ៊ិនគ្រីប។ល។) អ្នកអភិវឌ្ឍន៍គួរតែរក្សាទុកតែទិន្នន័យរសើបដែលចាំបាច់សម្រាប់មុខងារអាជីវកម្មកម្មវិធីប៉ុណ្ណោះ។ ការប្រមូលផ្តុំព័ត៌មានដែលមិនចាំបាច់បង្កើនផលប៉ះពាល់នៃការរំលោភលើសុវត្ថិភាពដែលអាចកើតមាន ធ្វើឱ្យកម្មវិធីមួយក្លាយជាគោលដៅទាក់ទាញសម្រាប់តួអង្គព្យាបាទ។ តាមរយៈការអនុវត្តការគ្រប់គ្រងសុវត្ថិភាពនេះ អ្នកអភិវឌ្ឍន៍អាចធានាថាការប៉ះពាល់ត្រូវបានកំណត់ចំពោះទិន្នន័យដែលត្រូវការសម្រាប់មុខងារអាជីវកម្មជាក់លាក់ ដោយកាត់បន្ថយផលប៉ះពាល់ជាអប្បបរមាក្នុងករណីមានការចូលប្រើប្រាស់ដោយគ្មានការអនុញ្ញាត ឬការរំលោភបំពានទិន្នន័យ។ ការណែនាំអំពីការអនុវត្ត អ្នកអភិវឌ្ឍន៍គួរតែចាត់ថ្នាក់ទិន្នន័យដែលត្រូវបានប្រើប្រាស់ដោយកម្មវិធី ដោយផ្អែកលើកម្រិតនៃភាពប្រែប្រួលរបស់ស្ថាប័ន និងផ្អែកលើតម្រូវការច្បាប់។ អ្នកអភិវឌ្ឍន៍គួរតែទទួលយកគោលការណ៍ណែនាំខាងក្រោមដើម្បីធានាទិន្នន័យដែលត្រូវបានចាត់ថ្នាក់ថាមានលក្ខណៈរសើប៖
1. អនុវត្តដំណោះស្រាយការផ្ទុកដែលមានសុវត្ថិភាពដោយផ្អែកលើភាពប្រែប្រួលរបស់វានៅផ្នែកខាងម៉ាស៊ីនភ្ញៀវ/ផ្នែកខាងម៉ាស៊ីនមេ។ 2. អនុវត្តវិធានការការពារទិន្នន័យ (ឧ. សញ្ញាសម្ងាត់, ហាសជាមួយអំបិល, ការអ៊ិនគ្រីប) 3. លុបទិន្នន័យរសើបនៅពេលដែលមិនចាំបាច់ទៀតទេ។ អ្វីដែលត្រូវកត់សម្គាល់ការគ្រប់គ្រងសុវត្ថិភាពនេះត្រូវបានយោងតាមស្តង់ដារផ្សេងទៀត។ សូមយោងទៅលើឯកសារដែលបានផ្តល់នៅក្នុង៖ · មគ្គុទ្ទេសក៍តេស្តសុវត្ថិភាពកម្មវិធីទូរស័ព្ទ OWASP (MASTG) v1.7.0 (2023), ទំព័រ។ 190, 398. · គោលការណ៍ណែនាំស្តីពីការគ្រប់គ្រងហានិភ័យបច្ចេកវិទ្យា MAS (2021), ទំព័រ។ 9-10, 36, 38. · ENISA Smartphone Secure Development Guidelines (2016), pg. ៦.
31
ស្តុក-BP02
គ្រប់គ្រងកម្មវិធីអនុវត្តការផ្ទុកទិន្នន័យរសើបដោយសុវត្ថិភាព។ ការពិពណ៌នា ការផ្ទុកសុវត្ថិភាពសម្រាប់កម្មវិធីទូរស័ព្ទ សំដៅលើការអនុវត្តបច្ចេកទេស និងការអនុវត្តដើម្បីការពារទិន្នន័យរសើបដែលរក្សាទុកនៅលើឧបករណ៍ចល័ត និងម៉ាស៊ីនមេកម្មវិធីពីការចូលប្រើដោយគ្មានការអនុញ្ញាត ការលួច ឬ tampអ៊ីង។ នេះពាក់ព័ន្ធនឹងការអនុវត្តល្អបំផុតដូចជាការអ៊ិនគ្រីប ការ hashing និមិត្តសញ្ញា និងការគ្រប់គ្រងការចូលប្រើប្រាស់ត្រឹមត្រូវ។ តាមរយៈការអនុវត្តការផ្ទុកដែលមានសុវត្ថិភាព អ្នកអភិវឌ្ឍន៍អាចកាត់បន្ថយប្រឆាំងនឹងការចូលប្រើដោយគ្មានការអនុញ្ញាត ការសម្របសម្រួលឧបករណ៍ ការបំពានទិន្នន័យដែលអាចកើតមាន និងការលេចធ្លាយទិន្នន័យ។ ការណែនាំអំពីការអនុវត្ត អ្នកអភិវឌ្ឍន៍គួរតែអនុវត្តដំណោះស្រាយការផ្ទុកសុវត្ថិភាពដែលសមស្របនឹងភាពប្រែប្រួលនៃទិន្នន័យ។ អ្នកអភិវឌ្ឍន៍ក៏គួរតែផ្តល់អាទិភាពដល់លំដាប់ខាងក្រោមសម្រាប់ដំណោះស្រាយការផ្ទុកសុវត្ថិភាព (ពីទិន្នន័យរសើបបំផុតរហូតដល់ទិន្នន័យរសើបតិចបំផុត)៖
1. Server-side (ទិន្នន័យរសើបទាំងអស់គួរតែត្រូវបានរក្សាទុកនៅខាង server)។ 2. ផ្នែកខាងអតិថិជននៅក្នុងបរិយាកាសប្រតិបត្តិដែលជឿទុកចិត្ត (ក្នុងករណីដែលផ្នែកខាងម៉ាស៊ីនមេមិនមាន
អាចរក្សាទុកទិន្នន័យរសើបទាំងអស់នៅក្នុង TEE ខាងអតិថិជន)។ អ្វីដែលត្រូវកត់សម្គាល់ការគ្រប់គ្រងសុវត្ថិភាពនេះត្រូវបានយោងតាមស្តង់ដារផ្សេងទៀត។ សូមយោងទៅលើឯកសារដែលបានផ្តល់ជូនក្នុង៖
· OWASP Mobile Application Security Verification Standard (MASVS) v2.0.0 (2023), ទំព័រ។ ១៧-១៨។ · OWASP Mobile Application Security Guide Testing Guide (MASTG) v17 (18), ទំព័រ។ ១៩០-២០៣, ៣៩៨-
406. · ENISA Smartphone Secure Development Guidelines (2016), ទំព័រ។ ០៦-០៧.
32
ស្តុក-BP02 ក
គ្រប់គ្រង
កម្មវិធីនេះរក្សាទុកទិន្នន័យរសើបដោយសុវត្ថិភាពនៅលើផ្នែកខាងម៉ាស៊ីនមេ។
ការពិពណ៌នា
ការរក្សាទុកទិន្នន័យរសើបនៅលើផ្នែកខាងម៉ាស៊ីនមេ សំដៅលើការរក្សាទុកទិន្នន័យនៅលើម៉ាស៊ីនមេកម្មវិធីពីចម្ងាយ ឬមូលដ្ឋានទិន្នន័យ។ វិធីសាស្រ្តបែបនេះបង្កើតបរិយាកាសប្រសើរជាងមុន ដើម្បីការពារទិន្នន័យពីការចូលប្រើដោយគ្មានការអនុញ្ញាត ឬការបំពាន ការបើកការគ្រប់គ្រងការចូលប្រើដែលមានសុវត្ថិភាពជាងមុន ជម្រើសដើម្បីអនុវត្តវិធានការសុវត្ថិភាពប្រសើរជាងមុន ដូចជាការអ៊ិនគ្រីបដ៏ស្មុគស្មាញ និងការផ្តល់បច្ចុប្បន្នភាពសុវត្ថិភាពលឿនជាងមុន។
តាមរយៈការអនុវត្តការផ្ទុកទិន្នន័យរសើបផ្នែកខាងម៉ាស៊ីនមេ អ្នកអភិវឌ្ឍន៍អាចកាត់បន្ថយប្រឆាំងនឹងហានិភ័យនៃការផ្ទុកទិន្នន័យផ្នែកខាងអតិថិជន ដោយសារការផ្ទុកផ្នែកខាងអតិថិជនគឺងាយនឹងទទួលរងនូវបច្ចេកទេសកេងប្រវ័ញ្ចនៃការផ្ទុកទិន្នន័យដែលត្រូវបានប្រើជាទូទៅដោយតួអង្គព្យាបាទក្នុងការបោកប្រាស់តាមទូរស័ព្ទ។
ការណែនាំអំពីការអនុវត្ត
អ្នកអភិវឌ្ឍន៍គួរតែអនុវត្តយ៉ាងហោចណាស់ 1 នៃវិធានការការពារទិន្នន័យខាងក្រោម៖
1. សម្រាប់តែពាក្យសម្ងាត់ អ្នកអភិវឌ្ឍន៍អាចប្រើ hashing with salt6។ ជំនួសឱ្យការរក្សាទុកពាក្យសម្ងាត់ពិតប្រាកដ អំបិលតែមួយគត់ត្រូវបានបង្កើត និងរួមបញ្ចូលជាមួយពាក្យសម្ងាត់ បង្កើតជាសញ្ញាអំបិល។
2. អ្នកអភិវឌ្ឍន៍អាចអ៊ិនគ្រីបទិន្នន័យរសើប 7 ជាមួយនឹងស្តង់ដារអ៊ិនគ្រីបដូចជា AES-128 ។ 3. អ្នកអភិវឌ្ឍន៍អាចអនុវត្ត tokenisation8 ជាមួយនឹង tokenisation គ្រប់គ្រងដោយខ្លួនឯង ឬ tokenisation
សេវាកម្ម ជំនួសទិន្នន័យរសើបដោយសញ្ញាសម្ងាត់តាមដែលអាចធ្វើបាន។ លើសពីនេះ អ្នកអភិវឌ្ឍន៍គួរតែធានាថា និមិត្តសញ្ញានិមិត្តសញ្ញាមានប្រវែង និងភាពស្មុគស្មាញគ្រប់គ្រាន់ (គាំទ្រដោយការគ្រីបសម្ងាត់) ដោយផ្អែកលើភាពប្រែប្រួលនៃទិន្នន័យ និងតម្រូវការអាជីវកម្ម។
ខាងលើគ្រាន់តែជាអតីតមួយចំនួនប៉ុណ្ណោះ។amples នៃការអនុវត្តល្អបំផុតដែលប្រើដោយឧស្សាហកម្ម។ នៅពេលដែលប្រព័ន្ធអេកូនៃឧបករណ៍ចល័តមានការវិវឌ្ឍន៍ ការអនុវត្តល្អបំផុតទាំងនេះអាចនឹងហួសសម័យ។ ដូច្នេះហើយ អ្នកអភិវឌ្ឍន៍គួរតែធ្វើតាមការអនុវត្តល្អបំផុតក្នុងឧស្សាហកម្មចុងក្រោយបំផុត ដើម្បីរក្សាទុកទិន្នន័យរសើបដោយសុវត្ថិភាពនៅលើផ្នែកខាងម៉ាស៊ីនមេ។
អ្វីដែលត្រូវកត់សម្គាល់
ការត្រួតពិនិត្យសុវត្ថិភាពនេះត្រូវបានយោងនៅក្នុងស្តង់ដារផ្សេងទៀត។ សូមយោងទៅលើឯកសារដែលបានផ្តល់ជូនក្នុង៖
· OWASP Mobile Application Security Verification Standard (MASVS) v2.0.0 (2023), ទំព័រ។ ១៩-២០។ · OWASP Mobile Application Security Guide Testing Guide (MASTG) v19 (20), ទំព័រ។ ៧១-៧៧, ២១៩-២២៧,
៤១៦-៤២១។ · គោលការណ៍ណែនាំស្តីពីការគ្រប់គ្រងហានិភ័យបច្ចេកវិទ្យា MAS (416), ទំព័រ។ 421, 2021-30, 36. · គោលការណ៍ណែនាំសុវត្ថិភាពការទទួលយកការទូទាត់តាមទូរស័ព្ទ PCI v37 (39), ទំព័រ។ 2.0.0. · ENISA Smartphone Secure Development Guidelines (2017), ទំព័រ។ ៦-៩។
6 Hashing with salt ត្រូវបានប្រើដើម្បីបន្ថែមស្រទាប់សុវត្ថិភាពបន្ថែម ដោយធ្វើឱ្យវាគណនាបានច្រើនសម្រាប់អ្នកវាយប្រហារដើម្បីបកស្រាយទិន្នន័យរសើបដើម។ នៅក្នុងបរិបទនៃការផ្ទុកពាក្យសម្ងាត់ ឬការទាញយកកូនសោ អ្នកអភិវឌ្ឍន៍គួរតែប្រើប្រាស់មុខងារទាញយកសោរមួយផ្លូវ ឬក្បួនដោះស្រាយសញ្ញាយឺត ដូចជា PBKDF2 bcrypt ឬ scrypt ជាដើម។ 7 ការអ៊ិនគ្រីបត្រូវបានប្រើដើម្បីបំប្លែងទិន្នន័យទៅជាទម្រង់ដែលមិនអាចអានបាន ដោយធានាថាទោះបីជាបានចូលប្រើដោយគ្មានការអនុញ្ញាតក៏ដោយ ក៏ទិន្នន័យរសើបនៅតែរក្សាការសម្ងាត់។ 8 Tokenisation ត្រូវបានប្រើដើម្បីជំនួសទិន្នន័យរសើបជាមួយនឹងសញ្ញាសម្ងាត់ ដើម្បីកាត់បន្ថយហានិភ័យនៃការប៉ះពាល់ទិន្នន័យរសើប។
33
ស្តុក-BP02b
គ្រប់គ្រង
កម្មវិធីនេះរក្សាទុកទិន្នន័យរសើបដោយសុវត្ថិភាពនៅខាងអតិថិជននៅក្នុងបរិយាកាសប្រតិបត្តិដែលជឿទុកចិត្ត (TEE)។
ការពិពណ៌នា
បរិស្ថានប្រតិបត្តិដែលគួរឱ្យទុកចិត្ត (TEE) គឺជាតំបន់ដាច់ស្រយាលមួយនៅក្នុងផ្នែករឹង ឬស្ថាបត្យកម្មដំណើរការរបស់ឧបករណ៍ចល័តដែលផ្តល់នូវបរិយាកាសសុវត្ថិភាពខ្ពស់សម្រាប់ការរក្សាទុកទិន្នន័យរសើប និងប្រតិបត្តិប្រតិបត្តិការរសើប ឬសំខាន់។ វាត្រូវបានរចនាឡើងដើម្បីការពារទិន្នន័យរសើប សោគ្រីប និងដំណើរការសំខាន់ៗពីការចូលប្រើដោយគ្មានការអនុញ្ញាត ឬ tampអ៊ីង។ ប្រសិនបើមុខងារអាជីវកម្មរបស់កម្មវិធីទាមទារការផ្ទុកទិន្នន័យរសើបនៅខាងអតិថិជន វាត្រូវបានណែនាំអោយរក្សាទុកវានៅក្នុង TEE របស់ឧបករណ៍។
តាមរយៈការអនុវត្តការផ្ទុកទិន្នន័យរសើបបានត្រឹមត្រូវនៅក្នុង TEE ភាគីអតិថិជន អ្នកអភិវឌ្ឍន៍អាចកាត់បន្ថយការគំរាមកំហែងដែលមានប្រភពចេញពីក្នុងឧបករណ៍ដែលត្រូវបានសម្របសម្រួល និងពីអ្នកប្រព្រឹត្តអាក្រក់ខាងក្រៅ។ ការផ្ទុកបែបនេះក៏អាចកាត់បន្ថយប្រឆាំងនឹងការចូលប្រើទិន្នន័យរសើបរបស់អ្នកប្រើប្រាស់ដោយមិនមានការអនុញ្ញាតនៅលើកម្មវិធី និងការពារសោអ៊ិនគ្រីបណាមួយពីការលួច។
ការណែនាំអំពីការអនុវត្ត
អ្នកអភិវឌ្ឍន៍គួរតែរក្សាទុកទិន្នន័យរសើបដោយសុវត្ថិភាពនៅលើផ្នែកអតិថិជននៅក្នុងបរិយាកាសប្រតិបត្តិដែលជឿទុកចិត្ត (TEE) ដូចជា TrustZone របស់ Android របស់ ARM, Secure Enclave របស់ Apple ។
អ្នកអភិវឌ្ឍន៍ក៏គួរតែរក្សាទុកបញ្ជីទិន្នន័យរសើបខាងក្រោមយ៉ាងតិចបំផុតនៅក្នុង TEE៖
· ការកំណត់អត្តសញ្ញាណជីវមាត្រ។ · សញ្ញាសម្គាល់ការផ្ទៀងផ្ទាត់។ · សោសម្ងាត់នៅក្នុងប្រព័ន្ធគ្រប់គ្រងសោសុវត្ថិភាពដូចជា Android Keystore, iOS
កូនសោ។
ខាងលើគ្រាន់តែជាអតីតមួយចំនួនប៉ុណ្ណោះ។amples នៃអ្វីដែលអ្នកអភិវឌ្ឍន៍ទិន្នន័យរសើបគួររក្សាទុកនៅក្នុង TEE ។ នៅពេលដែលប្រព័ន្ធអេកូនៃឧបករណ៍ចល័តមានការវិវឌ្ឍន៍ អ្នកអភិវឌ្ឍន៍គួរតែអនុវត្តសេរីភាពក្នុងការរក្សាទុកទិន្នន័យណាមួយដែលពួកគេយល់ថាចាំបាច់ដើម្បីរក្សាទុកនៅក្នុង TEE ។
អ្វីដែលត្រូវកត់សម្គាល់
សម្រាប់ឧបករណ៍ដែលគ្មាន TEEs ផ្នែករឹង អ្នកអភិវឌ្ឍន៍អាចពិចារណាការប្រើប្រាស់ TEEs និម្មិត។
ជាជម្រើស អ្នកអភិវឌ្ឍន៍អាចពិចារណាបិទកម្មវិធី ឬបិទមុខងារប្រតិបត្តិការដែលមានហានិភ័យខ្ពស់របស់កម្មវិធី ដោយសារកម្មវិធីត្រូវបានចាត់ទុកថាគ្មានសុវត្ថិភាពសម្រាប់ប្រតិបត្តិការដែលមានហានិភ័យខ្ពស់។
ការត្រួតពិនិត្យសុវត្ថិភាពនេះត្រូវបានយោងនៅក្នុងស្តង់ដារផ្សេងទៀត។ សូមយោងទៅលើឯកសារដែលបានផ្តល់ជូនក្នុង៖
· OWASP Mobile Application Security Verification Standard (MASVS) v2.0.0 (2023), ទំព័រ។ ១៩-២០។ · OWASP Mobile Application Security Guide Testing Guide (MASTG) v19 (20), ទំព័រ។ 1.7.0, 2023, 75-93 ។ · គោលការណ៍ណែនាំស្តីពីការគ្រប់គ្រងហានិភ័យបច្ចេកវិទ្យា MAS (194), ទំព័រ។ 200. · គោលការណ៍ណែនាំស្តីពីសុវត្ថិភាពនៃការទទួលយកការទូទាត់តាមទូរស័ព្ទ PCI v2021 (51), ទំព័រ។ 2.0.0-2017, 07. · ENISA Smartphone Secure Development Guidelines (09), pg. ១០.
34
ស្តុក-BP03
គ្រប់គ្រង
កម្មវិធីនេះលុបទិន្នន័យរសើប នៅពេលដែលលែងត្រូវការ។
ការពិពណ៌នា
ការលុបទិន្នន័យរសើបសំដៅទៅលើដំណើរការនៃការដក ឬលុបជាអចិន្ត្រៃយ៍ ទិន្នន័យសម្ងាត់ ឯកជន ឬទិន្នន័យរសើបចេញពីឧបករណ៍ផ្ទុក ម៉ាស៊ីនមេ ឬមូលដ្ឋានទិន្នន័យ។ ដំណើរការនេះធានាថាទិន្នន័យរសើបត្រូវបានដកចេញដោយមិនអាចយកមកវិញបាន ហើយមិនអាចចូលប្រើ ទាញយកមកវិញ ប៉ះពាល់ដោយចៃដន្យ ឬបង្កើតឡើងវិញដោយបុគ្គលដែលគ្មានការអនុញ្ញាត ឬតាមរយៈវិធីសាស្ត្រសង្គ្រោះទិន្នន័យ។
តាមរយៈការអនុវត្តដំណើរការនេះ អ្នកអភិវឌ្ឍន៍អាចបង្រួមបង្អួចដែលអ្នកវាយប្រហារអាចទាញយកភាពងាយរងគ្រោះដើម្បីលួចទិន្នន័យរសើប។
ការណែនាំអំពីការអនុវត្ត
អ្នកអភិវឌ្ឍន៍គួរតែប្រើបច្ចេកទេសសុវត្ថិភាពការផ្ទុកជាប់រហូតខាងក្រោម៖
· សម្អាតខូគីដែលបានរក្សាទុកនៅពេលបិទកម្មវិធី ឬប្រើការផ្ទុកខូគីក្នុងសតិ។ · លុបទិន្នន័យរសើបទាំងអស់នៅលើការលុបកម្មវិធី។ ·លុបមូលដ្ឋានទិន្នន័យទាំងអស់ដោយដៃ files ដែលមានទិន្នន័យរសើប (ឧ. iOS WebView ឃ្លាំងសម្ងាត់) ពី
នេះ។ file ប្រព័ន្ធនៅពេលដែលមុខងារអាជីវកម្មដែលពាក់ព័ន្ធឈប់មាន។
ខាងលើគ្រាន់តែជាអតីតមួយចំនួនប៉ុណ្ណោះ។amples នៃការអនុវត្តល្អបំផុតដែលប្រើដោយឧស្សាហកម្ម។ នៅពេលដែលប្រព័ន្ធអេកូនៃឧបករណ៍ចល័តមានការវិវឌ្ឍន៍ បច្ចេកទេសទាំងនេះអាចនឹងហួសសម័យ។ ដូច្នេះហើយ អ្នកអភិវឌ្ឍន៍គួរតែធ្វើតាមការអនុវត្តល្អបំផុតក្នុងឧស្សាហកម្មចុងក្រោយបំផុត ដើម្បីលុបទិន្នន័យរសើបនៅពេលដែលលែងត្រូវការ។
អ្វីដែលត្រូវកត់សម្គាល់
អ្នកអភិវឌ្ឍន៍គួរតែចងចាំពីការប្រកាន់ខ្ជាប់នូវស្តង់ដារដែលទទួលយកយ៉ាងទូលំទូលាយ និងច្បាប់រក្សាទិន្នន័យដែលពាក់ព័ន្ធ រួមទាំង ប៉ុន្តែមិនកំណត់ចំពោះ៖
· ច្បាប់ការពារទិន្នន័យផ្ទាល់ខ្លួន (PDPA) · បទប្បញ្ញត្តិការពារទិន្នន័យទូទៅ (GDPR) · ស្តង់ដារសុវត្ថិភាពទិន្នន័យឧស្សាហកម្មកាតទូទាត់ (PCI DSS)
ការត្រួតពិនិត្យសុវត្ថិភាពនេះត្រូវបានយោងនៅក្នុងស្តង់ដារផ្សេងទៀត។ សូមយោងទៅលើឯកសារដែលបានផ្តល់ជូនក្នុង៖
· OWASP Mobile Application Security Guide Testing Guide (MASTG) v1.7.0 (2023), ទំព័រ។ 199, 206-214, 403-414 ។
· គោលការណ៍ណែនាំស្តីពីការគ្រប់គ្រងហានិភ័យបច្ចេកវិទ្យា MAS (2021), ទំព័រ។ 39. · ENISA Smartphone Secure Development Guidelines (2016), pg. ០៧, ០៩-១០.
35
36
4. ប្រឆាំង Tampការប្រឆាំងនិងការបញ្ច្រាស
សេចក្តីផ្តើម
ប្រឆាំងធីampការត្រួតពិនិត្យសុវត្ថិភាព ering និងប្រឆាំងការបញ្ច្រាសគឺជាវិធានការបន្ថែមដែលអ្នកអភិវឌ្ឍន៍អាចអនុវត្តដើម្បីទប់ទល់នឹងការវាយប្រហារដែលប៉ុនប៉ងamper ឬកម្មវិធីវិស្វករបញ្ច្រាស។ តាមរយៈការអនុវត្តមុខងារទាំងពីរ អ្នកអភិវឌ្ឍន៍បានបន្ថែមស្រទាប់ការពារជាច្រើនទៅក្នុងកម្មវិធី ដែលធ្វើឱ្យវាកាន់តែពិបាកសម្រាប់តួអង្គព្យាបាទក្នុងការទទួលបានជោគជ័យ។amper ឬកម្មវិធីវិស្វករបញ្ច្រាស ដែលអាចបណ្តាលឱ្យ:
· ការលួច ឬការសម្របសម្រួលនៃទ្រព្យសម្បត្តិអាជីវកម្មដ៏មានតម្លៃដូចជា ក្បួនដោះស្រាយកម្មសិទ្ធិ អាថ៌កំបាំងពាណិជ្ជកម្ម ឬទិន្នន័យរសើប។
· ការខាតបង់ផ្នែកហិរញ្ញវត្ថុរបស់អ្នកប្រើប្រាស់ដែលប្រើប្រាស់កម្មវិធីសម្រាប់ប្រតិបត្តិការដែលមានហានិភ័យខ្ពស់ · ការបាត់បង់ផ្នែកហិរញ្ញវត្ថុរបស់អង្គការដោយសារតែការបាត់បង់ប្រាក់ចំណូល ឬសកម្មភាពផ្លូវច្បាប់ · ការខូចខាតលើកេរ្តិ៍ឈ្មោះម៉ាកដោយសារតែការផ្សព្វផ្សាយអវិជ្ជមានឬការមិនពេញចិត្តរបស់អតិថិជន
ការគ្រប់គ្រងធានាថាកម្មវិធីដំណើរការលើវេទិកាដែលទុកចិត្ត ទប់ស្កាត់ tampដំណើរការនៅពេលដំណើរការ និងធានានូវភាពត្រឹមត្រូវនៃមុខងាររបស់កម្មវិធី។ លើសពីនេះ ការគ្រប់គ្រងរារាំងការយល់ឃើញ ដោយធ្វើឱ្យវាពិបាកសម្រាប់អ្នកវាយប្រហារក្នុងការស្វែងយល់ពីរបៀបដែលកម្មវិធីដំណើរការ។
ការគ្រប់គ្រងសុវត្ថិភាព
ID
គ្រប់គ្រង
RESILIENCE-BP01 ចុះហត្ថលេខាជាមួយវិញ្ញាបនបត្រពីហាងកម្មវិធីផ្លូវការ។
RESILIENCE-BP02 អនុវត្តការ jailbreak/ការរកឃើញឫស។ RESILIENCE-BP03 អនុវត្តការរកឃើញកម្មវិធីត្រាប់តាម។
RESILIENCE-BP04 អនុវត្តការរកឃើញប្រឆាំងនឹងមេរោគ។
RESILIENCE-BP05 អនុវត្តយន្តការប្រឆាំងនឹងការទំពក់។
RESILIENCE-BP06 អនុវត្តការត្រួតលើគ្នា, ពីចម្ងាយ viewing និងវិធានការប្រឆាំងអេក្រង់។
ភាពធន់-BP07
អនុវត្តការចាប់យកប្រឆាំងនឹងការចុចគ្រាប់ចុច ឬប្រឆាំងនឹងការចាក់សោរគ្រាប់ចុចប្រឆាំងនឹងក្តារចុចនិម្មិតភាគីទីបី។
37
ភាពធន់-BP01
គ្រប់គ្រង
កម្មវិធីនេះត្រូវបានចុះហត្ថលេខាដោយលេខកូដដោយវិញ្ញាបនបត្រពីហាងកម្មវិធីផ្លូវការ។
ការពិពណ៌នា
កម្មវិធីជារឿយៗត្រូវបានក្លែងបន្លំដោយអ្នកប្រព្រឹត្តអាក្រក់ និងចែកចាយតាមរយៈបណ្តាញដែលមិនសូវមានការគ្រប់គ្រងយ៉ាងតឹងរ៉ឹង។ ការចុះហត្ថលេខាលើកម្មវិធីជាមួយនឹងវិញ្ញាបនបត្រដែលផ្តល់ដោយហាងលក់កម្មវិធីផ្លូវការធានានូវប្រព័ន្ធប្រតិបត្តិការទូរស័ព្ទ និងអ្នកប្រើប្រាស់ថាកម្មវិធីទូរស័ព្ទគឺមកពីប្រភពដែលបានផ្ទៀងផ្ទាត់។
ការអនុវត្តការចុះហត្ថលេខាលើកូដជួយឱ្យប្រព័ន្ធប្រតិបត្តិការកំណត់ថាតើត្រូវអនុញ្ញាតឱ្យកម្មវិធីដំណើរការ ឬដំឡើងដោយផ្អែកលើហត្ថលេខា ឬវិញ្ញាបនបត្រដែលប្រើដើម្បីចុះហត្ថលេខាលើកូដ។ វាជួយការពារការដំឡើង និងដំណើរការកម្មវិធីដែលអាចបង្កគ្រោះថ្នាក់។ លើសពីនេះ ការចុះហត្ថលេខាលើកូដក៏ជួយដល់ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវផងដែរ ព្រោះហត្ថលេខានឹងផ្លាស់ប្តូរប្រសិនបើកម្មវិធីត្រូវបាន tampered ជាមួយ។
ការណែនាំអំពីការអនុវត្ត
អ្នកបង្កើតកូដគួរតែចុះហត្ថលេខាលើកម្មវិធីរបស់ពួកគេជាមួយនឹងវិញ្ញាបនបត្រ។ ផ្នែកនេះផ្តល់ ឧamples នៃរបៀបធ្វើវាតាមរយៈវេទិកាពេញនិយមបំផុតពីរ iOS និង Android ។
សម្រាប់ App Store របស់ Apple វាអាចត្រូវបានធ្វើដោយចុះឈ្មោះក្នុងកម្មវិធី Apple Developer Program និងបង្កើតសំណើចុះហត្ថលេខាលើវិញ្ញាបនបត្រនៅក្នុងវិបផតថលអ្នកអភិវឌ្ឍន៍។ អ្នកអភិវឌ្ឍន៍អាចចុះឈ្មោះសម្រាប់កម្មវិធី Apple Developer Program ហើយអាចយោងការណែនាំអ្នកអភិវឌ្ឍន៍ខាងក្រោមសម្រាប់ការចុះហត្ថលេខាលើកូដនៅក្រោមអ្វីដែលត្រូវកត់សម្គាល់។
សម្រាប់ប្រព័ន្ធប្រតិបត្តិការ Android មានហាងកម្មវិធីផ្សេងៗ។ សម្រាប់ Play Store របស់ Google វាអាចត្រូវបានធ្វើដោយកំណត់រចនាសម្ព័ន្ធ Play App Signing ដែលជាតម្រូវការសម្រាប់ការចែកចាយតាមរយៈ Play Store របស់ Google ។ សម្រាប់ព័ត៌មានបន្ថែមអំពីរបៀបធ្វើដូច្នេះ អ្នកអភិវឌ្ឍន៍អាចចូលទៅកាន់មគ្គុទ្ទេសក៍អ្នកអភិវឌ្ឍន៍ Android នៅក្រោមអ្វីដែលត្រូវកត់សម្គាល់។
សម្រាប់ហាងផ្លូវការផ្សេងទៀត សូមមើលការណែនាំអំពីអ្នកអភិវឌ្ឍន៍រៀងៗខ្លួនអំពីការចុះហត្ថលេខាលើកូដប្រភពកម្មវិធី។ អ្វីដែលត្រូវកត់សម្គាល់ ការគ្រប់គ្រងសុវត្ថិភាពនេះក៏ជាតម្រូវការសម្រាប់ការបោះផ្សាយកម្មវិធីនៅលើហាងកម្មវិធីផ្លូវការផងដែរ ដូច្នេះហើយ ការណែនាំគឺសម្រាប់កម្មវិធីរបស់អ្នកដែលត្រូវចុះហត្ថលេខាដោយលេខកូដជាមួយនឹងវិញ្ញាបនបត្រពីហាងកម្មវិធីផ្លូវការ។ ការត្រួតពិនិត្យសុវត្ថិភាពនេះត្រូវបានយោងនៅក្នុងស្តង់ដារផ្សេងទៀត។ សូមយោងទៅលើឯកសារដែលបានផ្តល់ជូនក្នុង៖
· មគ្គុទ្ទេសក៍កម្មវិធីអ្នកអភិវឌ្ឍន៍ Apple សម្រាប់ការចុះហត្ថលេខាលើកូដ https://developer.apple.com/support/code-signing (មករា 2024)។
· មគ្គុទ្ទេសក៍អ្នកអភិវឌ្ឍន៍ Android ស្តីពីភាពឯកជន https://developer.android.com/quality/privacy-andsecurity (មករា 2024)។
· OWASP Mobile Application Security Guide Testing Guide (MASTG) v1.7.0 (2023), ទំព័រ។ ៣២៥-៣២៦, ៥២២៥២៣។
· ENISA Smartphone Secure Development Guidelines (2016), ទំព័រ។ ២១.
38
ភាពធន់-BP02
គ្រប់គ្រង
កម្មវិធីនេះអនុវត្តការ jailbreak ឬការរកឃើញឫស។
ការពិពណ៌នា
ឧបករណ៍ដែលបានចាក់ឬស និង jailbroken ជាទូទៅត្រូវបានចាត់ទុកថាគ្មានសុវត្ថិភាព។ ឧបករណ៍ដែលបានចាក់ឬស ឬ jailbroken អនុញ្ញាតឱ្យអ្នកប្រើប្រាស់ទទួលបានសិទ្ធិខ្ពស់ ដែលអនុញ្ញាតឱ្យជៀសផុតពីការកំណត់សុវត្ថិភាព និងប្រព័ន្ធប្រតិបត្តិការកាន់តែងាយស្រួល។ សិទ្ធិកើនឡើងបែបនេះអាចគ្មានសុវត្ថិភាពសម្រាប់កម្មវិធី ដោយសារសិទ្ធិទាំងនេះអនុញ្ញាតឱ្យតួអង្គព្យាបាទអាចទាញយកប្រយោជន៍ពីភាពងាយរងគ្រោះ លួចព័ត៌មានសម្ងាត់ កាន់កាប់ឧបករណ៍របស់អ្នកប្រើប្រាស់ និងប្រតិបត្តិប្រតិបត្តិការកម្មវិធីក្លែងបន្លំ។
តាមរយៈការអនុវត្តការ jailbreak ឬការរកឃើញឫស អ្នកអភិវឌ្ឍន៍អាចការពារការកេងប្រវ័ញ្ចដែលបានរៀបរាប់ខាងលើពីការកើតឡើង ការពារកម្មសិទ្ធិបញ្ញារបស់កម្មវិធី ធានាស្ថេរភាពនៃកម្មវិធី និងការពារការឆ្លងកាត់នៃប្រព័ន្ធក្នុងកម្មវិធី។
ការណែនាំអំពីការអនុវត្ត
អ្នកអភិវឌ្ឍន៍គួរតែអនុវត្តការ jailbreak ឬការរកឃើញ root ដោយអនុវត្តការត្រួតពិនិត្យខាងក្រោមនៅក្នុងកម្មវិធីរបស់ពួកគេសម្រាប់ឧបករណ៍ Android៖
1. ពិនិត្យរក superuser ឬ SU binary ។ 2. រកឃើញឫស file ការផ្លាស់ប្តូរប្រព័ន្ធ។ 3. រកមើលកម្មវិធីឫសគល់។ 4. ពិនិត្យមើលការងើបឡើងវិញផ្ទាល់ខ្លួន។ 5. ពិនិត្យមើលការប្រើប្រាស់ API ដែលមិនមានសុវត្ថិភាព។
អ្នកអភិវឌ្ឍន៍គួរតែអនុវត្តការ jailbreak ឬការរកឃើញ root ដោយអនុវត្តការត្រួតពិនិត្យខាងក្រោមនៅក្នុងកម្មវិធីរបស់ពួកគេសម្រាប់ឧបករណ៍ iOS៖
1. រកឃើញការប្រើប្រាស់ APIs បានដាក់កម្រិត។ 2. រកមើលការ jailbreak tweaks ដូចជា mods ។ 3. រកមើលហាងកម្មវិធីក្រៅផ្លូវការ ឧទាហរណ៍ ពិនិត្យមើលហត្ថលេខា Cydia App Store ។ 4. រកមើលការកែប្រែខឺណែល។ 5. ពិនិត្យមើលភាពត្រឹមត្រូវនៃការរិះគន់ file ប្រព័ន្ធ។ 6. ប្រើបណ្ណាល័យភាគីទី 3 ដែលត្រូវបានរចនាឡើងដើម្បីរកឃើញឧបករណ៍ tampខ្សែអក្សរ
ខាងលើគ្រាន់តែជាអតីតមួយចំនួនប៉ុណ្ណោះ។amples នៃការត្រួតពិនិត្យការអនុវត្តល្អបំផុតដែលប្រើដោយឧស្សាហកម្ម។ នៅពេលដែលប្រព័ន្ធអេកូនៃឧបករណ៍ចល័តមានការវិវឌ្ឍន៍ ការត្រួតពិនិត្យទាំងនេះអាចនឹងហួសសម័យ។ ដូច្នេះហើយ អ្នកអភិវឌ្ឍន៍គួរតែធ្វើតាមការអនុវត្តល្អបំផុតក្នុងឧស្សាហកម្មចុងក្រោយបំផុត ដើម្បីអនុវត្តការ jailbreak ឬការរកឃើញឫស។
39
អ្វីដែលត្រូវកត់សម្គាល់ការគ្រប់គ្រងសុវត្ថិភាពនេះត្រូវបានយោងតាមស្តង់ដារផ្សេងទៀត។ សូមយោងទៅលើឯកសារដែលបានផ្តល់ជូនក្នុង៖
· OWASP Mobile Application Security Verification Standard (MASVS) v2.0.0 (2023), ទំព័រ។ 31. · OWASP Mobile Application Security Guide Testing Guide (MASTG) v1.7.0 (2023), pg. ៣១៩-៣២០, ៥០៦៩,
៥១៨-៥១៩។ · គោលការណ៍ណែនាំស្តីពីការគ្រប់គ្រងហានិភ័យបច្ចេកវិទ្យា MAS (518), ទំព័រ។ 519. · ENISA Smartphone Secure Development Guidelines (2021), ទំព័រ។ ១១, ២៣.
9 https://github.com/crazykid95/Backup-Mobile-Security-Report/blob/master/Jailbreak-Root-DetectionEvasion-Study-on-iOS-and-Android.pdf
40
ភាពធន់-BP03
គ្រប់គ្រង
កម្មវិធីនេះអនុវត្តការរកឃើញកម្មវិធីត្រាប់តាម។
ការពិពណ៌នា
កម្មវិធីត្រាប់តាមគឺជាកម្មវិធីដែលប្រើដើម្បីសាកល្បងកម្មវិធីទូរស័ព្ទដោយអនុញ្ញាតឱ្យអ្នកប្រើសាកល្បងកម្មវិធីទូរស័ព្ទលើកំណែ និងឧបករណ៍ចល័តផ្សេងៗដែលធ្វើត្រាប់តាម។ ទោះបីជាមានប្រយោជន៍សម្រាប់ការធ្វើតេស្តក៏ដោយ ក៏កម្មវិធីមិនគួរអនុញ្ញាតឱ្យខ្លួនគេដំឡើងនៅលើកម្មវិធីត្រាប់តាមនៅខាងក្រៅបរិយាកាសអភិវឌ្ឍន៍នោះទេ។
តាមរយៈការអនុវត្តការរកឃើញការត្រាប់តាម អ្នកអភិវឌ្ឍន៍អាចការពារតួអង្គព្យាបាទពីការដំណើរការការវិភាគថាមវន្ត ការចាក់ឬស ការបំបាត់កំហុស ឧបករណ៍ ការតោង និងការធ្វើតេស្ត fuzz នៅលើឧបករណ៍ដែលពួកគេអាចគ្រប់គ្រងបាន។ ក្នុងការធ្វើដូច្នេះ អ្នកអភិវឌ្ឍន៍អាចការពារតួអង្គព្យាបាទពីការរកឃើញភាពងាយរងគ្រោះនៅក្នុងកម្មវិធីសម្រាប់ការកេងប្រវ័ញ្ច។
ការណែនាំអំពីការអនុវត្ត
អ្នកអភិវឌ្ឍន៍គួរតែអនុវត្តយុទ្ធសាស្ត្ររាវរកខាងក្រោមដើម្បីកំណត់លក្ខណៈពិសេសសម្រាប់ដំណោះស្រាយត្រាប់តាមដែលប្រើជាទូទៅ។ អនុសាសន៍មួយចំនួននៃវត្ថុដែលត្រូវពិនិត្យគឺ៖
·ពិនិត្យមើលការប្រើប្រាស់ថ្ម។ ·ពិនិត្យពេលវេលាamps និងនាឡិកា។ · ពិនិត្យមើលឥរិយាបថពហុប៉ះ។ ·ពិនិត្យមើលការចងចាំនិងការវិភាគដំណើរការ។ ·អនុវត្តការត្រួតពិនិត្យបណ្តាញ។ ·ពិនិត្យមើលថាតើវាមានមូលដ្ឋានលើផ្នែករឹង។ ·ពិនិត្យមើលថាតើប្រព័ន្ធប្រតិបត្តិការផ្អែកលើអ្វី។ · ពិនិត្យមើលស្នាមម្រាមដៃរបស់ឧបករណ៍។ ·ពិនិត្យមើលការកំណត់រចនាសម្ព័ន្ធ។ · ពិនិត្យមើលសេវាកម្ម និងកម្មវិធីត្រាប់តាម។
ខាងលើគ្រាន់តែជាអតីតមួយចំនួនប៉ុណ្ណោះ។amples នៃការត្រួតពិនិត្យការអនុវត្តល្អបំផុតដែលប្រើដោយឧស្សាហកម្ម។ នៅពេលដែលប្រព័ន្ធអេកូនៃឧបករណ៍ចល័តមានការវិវឌ្ឍន៍ ការត្រួតពិនិត្យទាំងនេះអាចនឹងហួសសម័យ។ ដូច្នេះហើយ អ្នកអភិវឌ្ឍន៍គួរតែធ្វើតាមការអនុវត្តល្អបំផុតក្នុងឧស្សាហកម្មចុងក្រោយបំផុត ដើម្បីអនុវត្តការរកឃើញឧបករណ៍ត្រាប់តាម។ អ្វីដែលត្រូវកត់សម្គាល់ការគ្រប់គ្រងសុវត្ថិភាពនេះត្រូវបានយោងតាមស្តង់ដារផ្សេងទៀត។ សូមយោងទៅលើឯកសារដែលបានផ្តល់ជូនក្នុង៖
· OWASP Mobile Application Security Verification Standard (MASVS) v2.0.0 (2023), ទំព័រ។ ៣១-៣២។ · OWASP Mobile Application Security Guide Testing Guide (MASTG) v31 (32), ទំព័រ។ ៣២៥, ៥២១.
41
ភាពធន់-BP04
គ្រប់គ្រង
កម្មវិធីនេះអនុវត្តការរកឃើញប្រឆាំងនឹងមេរោគ។
ការពិពណ៌នា
កម្មវិធីមេរោគត្រូវបានប្រើប្រាស់កាន់តែខ្លាំងឡើងដោយតួអង្គព្យាបាទជាវ៉ិចទ័រ ដើម្បីសម្របសម្រួលឧបករណ៍ចល័តរបស់អ្នកប្រើប្រាស់ ដោយសារឧបករណ៍បែបនេះផ្តល់ឱ្យអ្នកប្រើប្រាស់នូវភាពងាយស្រួលដែលត្រូវការដើម្បីធ្វើប្រតិបត្តិការប្រចាំថ្ងៃ។ កម្មវិធី Malware ប្រើប្រាស់មុខងារ sideloading ជាចម្បងជាឆានែលមួយ ដើម្បីឱ្យអ្នកប្រើប្រាស់ដំឡើងមេរោគនៅលើឧបករណ៍របស់ពួកគេ។
តាមរយៈការអនុវត្តសមត្ថភាពរកឃើញប្រឆាំងនឹងមេរោគនៅលើកម្មវិធីមួយនៅពេលដំណើរការ អ្នកអភិវឌ្ឍន៍អាចការពារអ្នកប្រើប្រាស់ពីការកេងប្រវ័ញ្ចតាមរយៈមេរោគដែលទាញយកភាពងាយរងគ្រោះកម្មវិធី និងភាពងាយរងគ្រោះរបស់ OS លួចព័ត៌មានសម្ងាត់ កាន់កាប់ឧបករណ៍ និងដំណើរការប្រតិបត្តិការក្លែងបន្លំ។
ការណែនាំអំពីការអនុវត្ត
អ្នកអភិវឌ្ឍន៍គួរតែអនុវត្តសមត្ថភាពរកឃើញប្រឆាំងនឹងមេរោគនៅក្នុងកម្មវិធីរបស់ពួកគេ។ នេះអាចត្រូវបានធ្វើតាមវិធីផ្សេងៗគ្នា ប៉ុន្តែមិនកំណត់ចំពោះ៖
· បញ្ចូលកម្មវិធី Runtime-Application-Self-Protection (RASP) Software Development Kit (SDK) ទៅក្នុងកម្មវិធីរបស់ពួកគេ។
·ប្រើប្រាស់ RASP SDKs ដើម្បីពិនិត្យ និងរកឃើញកម្មវិធីមេរោគនៅពេលដំណើរការ។ · ពិនិត្យមើល និងការពារការត្រួតស៊ីគ្នា។ ·ទប់ស្កាត់ការចុច Jack ។ ·ទប់ស្កាត់ការភ្ជាប់អង្គចងចាំកម្មវិធី។
ខាងលើគ្រាន់តែជាអតីតមួយចំនួនប៉ុណ្ណោះ។amples នៃការត្រួតពិនិត្យការអនុវត្តល្អបំផុតដែលប្រើដោយឧស្សាហកម្ម។ នៅពេលដែលប្រព័ន្ធអេកូនៃឧបករណ៍ចល័តមានការវិវឌ្ឍន៍ ការត្រួតពិនិត្យទាំងនេះអាចនឹងហួសសម័យ។ ដូច្នេះហើយ អ្នកអភិវឌ្ឍន៍គួរតែធ្វើតាមការអនុវត្តល្អបំផុតក្នុងឧស្សាហកម្មចុងក្រោយបំផុត ដើម្បីអនុវត្តការរកឃើញប្រឆាំងនឹងមេរោគ។
អ្វីដែលត្រូវកត់សម្គាល់
ប្រសិនបើទម្រង់នៃព្យាបាទត្រូវបានរកឃើញ អ្នកអភិវឌ្ឍន៍គួរតែបិទកម្មវិធី និងផ្តល់ឱ្យអ្នកប្រើប្រាស់នូវព័ត៌មានចាំបាច់អំពីមូលហេតុដែលកម្មវិធីត្រូវបានបិទ និងជំរុញឱ្យអ្នកប្រើប្រាស់លុបកម្មវិធីព្យាបាទនៅលើឧបករណ៍របស់ពួកគេ។
ម៉្យាងទៀត អ្នកអភិវឌ្ឍន៍គួរតែព្រមានអ្នកប្រើប្រាស់ ហើយបិទមុខងារដែលមានហានិភ័យខ្ពស់នៅលើកម្មវិធី រហូតដល់អ្នកប្រើប្រាស់ជួសជុលកម្មវិធីព្យាបាទ។ ការត្រួតពិនិត្យសុវត្ថិភាពនេះត្រូវបានយោងនៅក្នុងស្តង់ដារផ្សេងទៀត។ សូមយោងទៅលើឯកសារដែលបានផ្តល់ជូនក្នុង៖
· OWASP Mobile Application Security Verification Standard (MASVS) v2.0.0 (2023), ទំព័រ។ 31. · គោលការណ៍ណែនាំស្តីពីការគ្រប់គ្រងហានិភ័យបច្ចេកវិទ្យា MAS (2021), ទំព័រ។ 40, 49. · ENISA Smartphone Secure Development Guidelines (2016), pg. ២៣.
42
ភាពធន់-BP05
គ្រប់គ្រង
កម្មវិធីនេះអនុវត្តយន្តការប្រឆាំងនឹងការទំពក់។
ការពិពណ៌នា
Hooking សំដៅលើបច្ចេកទេសដែលប្រើដោយអ្នកវាយប្រហារដើម្បីស្ទាក់ចាប់ ឬកែប្រែឥរិយាបថរបស់កម្មវិធីទូរស័ព្ទនៅពេលដំណើរការ។ វាពាក់ព័ន្ធនឹងការបញ្ចូល ឬភ្ជាប់ទៅក្នុងដំណើរការប្រតិបត្តិនៃកម្មវិធី ដើម្បីតាមដានសកម្មភាពរបស់វា កែប្រែឥរិយាបថរបស់វា បញ្ចូលកូដព្យាបាទ ឬកែប្រែមុខងារកូដដែលមានស្រាប់ ដើម្បីទាញយកភាពងាយរងគ្រោះ។
តាមរយៈការអនុវត្តយន្តការប្រឆាំងការលួចចូលលើកម្មវិធី អ្នកអភិវឌ្ឍន៍អាចការពារការវាយប្រហារខាងលើពីការកើតឡើង និងការពារការចូលប្រើដោយគ្មានការអនុញ្ញាត ការពារប្រតិបត្តិការប្រតិបត្តិការដែលមានហានិភ័យខ្ពស់ រកឃើញ និងទប់ស្កាត់ampការព្យាយាមកែប្រែ និងការព្យាយាម រក្សាកម្មសិទ្ធិបញ្ញា និងរក្សាភាពជឿជាក់នៃកម្មវិធី។
ការណែនាំអំពីការអនុវត្ត
អ្នកអភិវឌ្ឍន៍គួរតែអនុវត្តឧample យន្តការដើម្បីកាត់បន្ថយការវាយប្រហារដោយការវាយប្រហារ៖
· អនុវត្តការការពារទប់ស្កាត់ការចាក់កូដ។ · អនុវត្តការការពារដើម្បីការពារការភ្ជាប់វិធីសាស្រ្តដោយការពារការកែប្រែកម្មវិធី
កូដប្រភព (ទាំងនៅលើម៉ាស៊ីនភ្ញៀវនិងម៉ាស៊ីនមេ) ។ · អនុវត្តការការពារដើម្បីការពារការប្រតិបត្តិនៃកូដដែលបានកែប្រែនៅក្នុងកម្មវិធីរបស់អ្នក។ · អនុវត្តការការពារដើម្បីការពារការចូលប្រើអង្គចងចាំ និងការរៀបចំអង្គចងចាំសម្រាប់កម្មវិធីរបស់អ្នក។ · អនុវត្ត tamper Resistance algorithms ឬ anti-tampering SDKs (ត្រូវបានគេស្គាល់ជាទូទៅថាជា
Runtime-Application-Self-Protection SDKs)។ · ពិនិត្យរកមើលប៉ារ៉ាម៉ែត្រដែលមិនមានសុវត្ថិភាពដូចជា APIs និងប៉ារ៉ាម៉ែត្រដែលលែងប្រើ។
ខាងលើគ្រាន់តែជាអតីតមួយចំនួនប៉ុណ្ណោះ។amples នៃការត្រួតពិនិត្យការអនុវត្តល្អបំផុតដែលប្រើដោយឧស្សាហកម្ម។ នៅពេលដែលប្រព័ន្ធអេកូនៃឧបករណ៍ចល័តមានការវិវឌ្ឍន៍ ការត្រួតពិនិត្យទាំងនេះអាចនឹងហួសសម័យ។ ដូច្នេះហើយ អ្នកអភិវឌ្ឍន៍គួរតែធ្វើតាមការអនុវត្តល្អបំផុតក្នុងឧស្សាហកម្មចុងក្រោយបំផុត ដើម្បីអនុវត្តយន្តការប្រឆាំងនឹងការទំពក់។ អ្វីដែលត្រូវកត់សម្គាល់ការគ្រប់គ្រងសុវត្ថិភាពនេះត្រូវបានយោងតាមស្តង់ដារផ្សេងទៀត។ សូមយោងទៅលើឯកសារដែលបានផ្តល់ជូនក្នុង៖
· OWASP Mobile Application Security Verification Standard (MASVS) v2.0.0 (2023), ទំព័រ។ 31. · OWASP Mobile Application Security Guide Testing Guide (MASTG) v1.7.0 (2023), pg. ៣១៩-៣២០, ៥០៦៩,
318-319, 339-340, 390, 520. · ការណែនាំអំពីការគ្រប់គ្រងហានិភ័យបច្ចេកវិទ្យា MAS (2021), ទំព័រ។ 56. · ENISA Smartphone Secure Development Guidelines (2016), ទំព័រ។ ២៣, ២៦.
43
ភាពធន់-BP06
គ្រប់គ្រង
កម្មវិធីនេះអនុវត្តការត្រួតលើគ្នា, ពីចម្ងាយ viewing និងវិធានការប្រឆាំងអេក្រង់។
ការពិពណ៌នា
ព័ត៌មានរសើបអាចត្រូវបានចាប់យក ឬកត់ត្រាដោយគ្មានការយល់ព្រមពីអ្នកប្រើប្រាស់ច្បាស់លាស់ នៅពេលដែលកម្មវិធីមានមុខងារថតអេក្រង់ រូបថតអេក្រង់ ឬមុខងារត្រួតលើគ្នា។ សម្រាប់អតីតampលេ៖
· Overlay វាយប្រហារបញ្ឆោតអ្នកប្រើប្រាស់ដោយបង្កើតស្រទាប់ក្លែងក្លាយដែលធ្វើត្រាប់តាមកម្មវិធីដែលគួរឱ្យទុកចិត្ត គោលបំណងលួចទិន្នន័យរសើប។
· ពីចម្ងាយ viewការវាយប្រហារពាក់ព័ន្ធនឹងការចូលប្រើដោយគ្មានការអនុញ្ញាតទៅកាន់អេក្រង់របស់ឧបករណ៍ ដែលអនុញ្ញាតឱ្យអ្នកវាយប្រហារប្រមូលទិន្នន័យរសើបពីចម្ងាយ។
· ការវាយប្រហារដោយរូបថតអេក្រង់កើតឡើងនៅពេលដែលតួអង្គព្យាបាទចាប់យកអេក្រង់របស់ឧបករណ៍ដោយគ្មានការយល់ព្រមពីអ្នកប្រើប្រាស់ ដោយទាញយកទិន្នន័យរសើប។
ការអនុវត្តការត្រួតលើគ្នា, ពីចម្ងាយ viewវិធានការប្រឆាំងនិងរូបថតអេក្រង់អាចធានាថាព័ត៌មានរសើបនៅតែមានសុវត្ថិភាព ភាពឯកជនរបស់អ្នកប្រើប្រាស់ត្រូវបានរក្សា ហើយទិន្នន័យរសើបត្រូវបានការពារប្រឆាំងនឹងការបាត់បង់ដោយអចេតនា ឬការប្រើប្រាស់ខុស។
ការណែនាំអំពីការអនុវត្ត
អ្នកអភិវឌ្ឍន៍គួរតែអនុវត្តការប្រឆាំងនឹង tampការត្រួតពិនិត្យ និងការប្រឆាំងមេរោគតាមរយៈ RASP SDKs ដើម្បីការពារកម្មវិធីព្យាបាទពីការប្រើប្រាស់ការត្រួតលើគ្នា និងពីចម្ងាយ viewការកេងប្រវ័ញ្ច។
សម្រាប់រូបថតអេក្រង់ អ្នកអភិវឌ្ឍន៍អាចប្រើប្រាស់ទង់ FLAG_SECURE សម្រាប់កម្មវិធី Android និងទង់ស្រដៀងគ្នាសម្រាប់ iOS ដើម្បីទប់ស្កាត់សមត្ថភាពថតអេក្រង់ទាំងអស់នៅពេលប្រើកម្មវិធី។ ទោះយ៉ាងណាក៏ដោយ ឧបមាថាមុខងារអាជីវកម្មទាមទារសមត្ថភាពថតអេក្រង់ (ឧទាហរណ៍ ការថតអេក្រង់នៃប្រតិបត្តិការ PayNow ដែលបានបញ្ចប់)។ ក្នុងករណីនោះ ការណែនាំគឺត្រូវបិទសមត្ថភាពថតអេក្រង់សម្រាប់អេក្រង់ ឬទំព័រដែលរួមបញ្ចូលទិន្នន័យរសើប (PII និងទិន្នន័យផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ)។
អ្នកអភិវឌ្ឍន៍ក៏អាចពិចារណាពីការបិទបាំងការបញ្ចូលជាមួយទិន្នន័យរសើប និងអេក្រង់ឧបករណ៍ចាប់សញ្ញា នៅពេលដែលកម្មវិធីត្រូវបានផ្ទៃខាងក្រោយ។
អ្វីដែលត្រូវកត់សម្គាល់
អតីតខ្លះampកន្លែងដែលត្រូវបិទសមត្ថភាពថតអេក្រង់ទាំងនេះរួមបញ្ចូល ប៉ុន្តែមិនត្រូវបានកំណត់ចំពោះ៖ ទំព័រចូល ទំព័រផ្ទៀងផ្ទាត់ពហុកត្តា លិខិតសម្គាល់សុវត្ថិភាព និងទំព័រផ្លាស់ប្តូរ PII ជាដើម។
ការត្រួតពិនិត្យសុវត្ថិភាពនេះត្រូវបានយោងនៅក្នុងស្តង់ដារផ្សេងទៀត។ សូមយោងទៅលើឯកសារដែលបានផ្តល់ជូនក្នុង៖
· OWASP Mobile Application Security Verification Standard (MASVS) v2.0.0 (2023), ទំព័រ។ 31. · OWASP Mobile Application Security Guide Testing Guide (MASTG) v1.7.0 (2023), pg. ៣១៩-៣២០, ៥០៦៩,
259, 265-267, 366, 480-481 ។ · គោលការណ៍ណែនាំស្តីពីការគ្រប់គ្រងហានិភ័យបច្ចេកវិទ្យា MAS (2021), ទំព័រ។ 56. · ENISA Smartphone Secure Development Guidelines (2016), ទំព័រ។ ៨.
44
ភាពធន់-BP07
គ្រប់គ្រង
កម្មវិធីនេះអនុវត្តការចាប់យកប្រឆាំងនឹងការចុចគ្រាប់ចុច ឬប្រឆាំងនឹងការចាក់សោរគ្រាប់ចុចប្រឆាំងនឹងក្តារចុចនិម្មិតភាគីទីបី។
ការពិពណ៌នា
ការចាប់យកគ្រាប់ចុច និងការចាក់សោរគ្រាប់ចុច គឺជាវិធីសាស្រ្តដែលតួអង្គព្យាបាទប្រើប្រាស់ដើម្បីត្រួតពិនិត្យ កត់ត្រា និងកត់ត្រាគ្រាប់ចុចដែលបានចុចនៅលើក្តារចុចដោយមិនមានចំណេះដឹង និងការយល់ព្រមពីអ្នកប្រើប្រាស់។ នេះអនុញ្ញាតឱ្យកត់ត្រា និងចាប់យកទិន្នន័យដែលមានសក្តានុពល (ឧទាហរណ៍ PII និងទិន្នន័យផ្ទៀងផ្ទាត់)។
តាមរយៈការអនុវត្តវិធានការប្រឆាំងការវាយកូនសោ និងការដាក់សោ អ្នកអភិវឌ្ឍន៍អាចការពារការបាត់បង់ទិន្នន័យរសើបដោយមិនចាំបាច់។ ពិសេសជាងនេះទៅទៀត ការគ្រប់គ្រងនេះគឺកំណត់គោលដៅឧបករណ៍ Android ព្រោះក្តារចុចដើមរបស់ឧបករណ៍ Android អាចផ្លាស់ប្តូរបាន។ ការផ្លាស់ប្តូរបែបនេះអាចបង្ហាញកម្មវិធីចំពោះភាពងាយរងគ្រោះផ្នែកសុវត្ថិភាព ដោយសារផ្លូវដែលអាចទុកចិត្តបានរវាងការបញ្ចូលក្តារចុច និងកម្មវិធីមានភាគីដែលមិនគួរឱ្យទុកចិត្តរវាងពួកគេ។
ការណែនាំអំពីការអនុវត្ត
អ្នកអភិវឌ្ឍន៍មិនគួរអនុញ្ញាតឱ្យប្រើក្តារចុចនិម្មិតភាគីទីបីដែលមិនមានសុវត្ថិភាពសម្រាប់ការបញ្ចូលដែលអាចមានទិន្នន័យរសើបនោះទេ។ ក្តារចុចផ្ទាល់ខ្លួនក្នុងកម្មវិធីដែលមានសុវត្ថិភាពគឺពេញចិត្តសម្រាប់ការបញ្ចូលបែបនេះ។
តាមរយៈការអនុវត្តក្តារចុចក្នុងកម្មវិធី អ្នកអភិវឌ្ឍន៍អាចគ្រប់គ្រងកន្លែងដែលទិន្នន័យកត់ត្រាចូលទៅ និងកាត់បន្ថយហានិភ័យនៃក្តារចុចនិម្មិតភាគីទីបីដែលមិនមានសុវត្ថិភាពដែលដើរតួជាអ្នកកត់ត្រាគ្រាប់ចុចដើម្បីចាប់យកការចុចគ្រាប់ចុច។
រួមជាមួយនឹងការប្រើប្រាស់ក្តារចុចក្នុងកម្មវិធី អ្នកអភិវឌ្ឍន៍គួរតែអនុវត្តការផ្ដល់យោបល់ខាងក្រោមសម្រាប់ការបញ្ចូលដែលត្រូវការទិន្នន័យរសើប (ឧទាហរណ៍ PII និងទិន្នន័យផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ)៖ បិទការកែតម្រូវដោយស្វ័យប្រវត្តិ បំពេញដោយស្វ័យប្រវត្តិ ការណែនាំដោយស្វ័យប្រវត្តិ កាត់ ចម្លង និងបិទភ្ជាប់សម្រាប់មុខងារ/ឬកម្មវិធីដែលមានទិន្នន័យរសើប។ .
អ្វីដែលគួរកត់សម្គាល់ អតីតampមុខងារដែលគួរប្រើក្តារចុចក្នុងកម្មវិធីរួមមាន ប៉ុន្តែមិនកំណត់ចំពោះការចូល បញ្ចូល OTP ឬកត្តាផ្ទៀងផ្ទាត់ផ្សេងទៀតជាដើម។
ការគ្រប់គ្រងសុវត្ថិភាព និងការអនុវត្តល្អបំផុតនេះកំណត់គោលដៅជាចម្បងលើឧបករណ៍ Android ។ គោលដៅសំខាន់គឺធានាសុវត្ថិភាពនៃផ្លូវដែលអាចទុកចិត្តបាន។ ដោយសារប្រព័ន្ធប្រតិបត្តិការ Android មិនផ្តល់វិធីសាស្ត្រដើម្បីពង្រឹងការប្រើប្រាស់ក្តារចុចដើម/ដែលអាចទុកចិត្តបាន អ្នកអភិវឌ្ឍន៍គួរតែអនុវត្តក្តារចុចក្នុងកម្មវិធី ដើម្បីធានាថាក្តារចុចនិម្មិតភាគីទីបីដែលមិនមានសុវត្ថិភាពមិនកត់ត្រាព័ត៌មាន។
ការអនុវត្តក្តារចុចក្នុងកម្មវិធីដែលមានសុវត្ថិភាពមិនកាត់បន្ថយហានិភ័យដែលទាក់ទងនឹងឧបករណ៍ដែលត្រូវបានសម្របសម្រួលនោះទេ។
ការត្រួតពិនិត្យសុវត្ថិភាពនេះត្រូវបានយោងនៅក្នុងស្តង់ដារផ្សេងទៀត។ សូមយោងទៅលើឯកសារដែលបានផ្តល់ជូនក្នុង៖
· OWASP Mobile Application Security Verification Standard (MASVS) v2.0.0 (2023), ទំព័រ។ 31. · OWASP Mobile Application Security Guide Testing Guide (MASTG) v1.7.0 (2023), pg. ២០៣, ២១៤-២១៥,
257, 259, 400, 414-415 ។ · គោលការណ៍ណែនាំស្តីពីការគ្រប់គ្រងហានិភ័យបច្ចេកវិទ្យា MAS (2021), ទំព័រ។ 56. · ENISA Smartphone Secure Development Guidelines (2016), ទំព័រ។ ០៨, ២៣.
45
ឯកសារយោង
ស/ន ២៦
2
3
4
5
៦៧ ៨
ឯកសារ OWASP Mobile Application Security Verification Standard (MASVS) v2.0.0 OWASP Mobile Application Security Guide Testing Guide (MASTG) v1.7.0 MAS Technology គោលការណ៍ណែនាំស្តីពីការគ្រប់គ្រងហានិភ័យ, PCI Mobile Payment Guidelines v2.0.0 ENISA Smartphone ENISA ការណែនាំអំពីការអភិវឌ្ឍន៍សុវត្ថិភាព Android អ្នកអភិវឌ្ឍន៍ Apple ឯកសារ
ប្រភព OWASP
OWASP
ម៉ាស
PCI-DSS
អ៊ីនីសា
ប្រព័ន្ធប្រតិបត្តិការ Android Apple
ចុះថ្ងៃទី 2023
2023
2021
2017
2016
៦៧ ៨
46
ឯកសារ/ធនធាន
 |
កម្មវិធីស្តង់ដារសុវត្ថិភាព CSA [pdf] ការណែនាំអ្នកប្រើប្រាស់ កម្មវិធីស្តង់ដារសុវត្ថិភាព ស្តង់ដារសុវត្ថិភាព កម្មវិធី |
