ตัวอย่างสังเคราะห์ · ไม่ใช่งานลูกค้าหรือหลักฐานจากการวัดจริง
ตัวอย่างบัญชีรายการการเข้ารหัส
สำหรับเจ้าของแอปพลิเคชันที่ต้องการระบุส่วนที่พึ่งพาและหลักฐานที่ขาด
สถานการณ์: แอปพลิเคชัน SaaS แชร์เอกสารสมมติ ขอบเขตครอบคลุมหนึ่งแอปพลิเคชัน การเชื่อมต่อบริการ และระบบยืนยันตัวตนที่พึ่งพา เจ้าของและหลักฐานทั้งหมดเป็นตัวอย่าง ไม่ได้ตรวจสอบระบบลูกค้าจริง
ขอบเขตและหลักฐาน
- ขอบเขต
- แอปเอกสารสมมติหนึ่งระบบ การเชื่อมต่อ worker และ dependency ด้านตัวตน ไม่มีการตรวจ runtime เครือข่าย ที่เก็บใบรับรอง หรือบัญชีคลาวด์
- ทะเบียนหลักฐาน
- E-01: manifest สมมติที่ประกาศ jose; E-02: สถาปัตยกรรมสมมติที่แสดง HTTPS ระหว่างแอปและ worker; E-03: คำถามผู้ให้บริการที่ยังไม่มีคำตอบ ทั้งหมดเป็นตัวอย่างที่เขียนขึ้น ไม่ใช่ไฟล์ที่เก็บมา
ทะเบียนสินทรัพย์
- APP-01 · dependency ด้านตัวตน
- บทบาท: ต้องยืนยันการลงนามหรือตรวจ token; ไลบรารี: jose ไม่ทราบเวอร์ชัน; เจ้าของ: เจ้าของแอป ยังไม่ยืนยัน; แหล่ง: E-01 การประกาศไม่พิสูจน์การใช้งานหรืออัลกอริทึม ขั้นต่อไป: ยืนยันการเรียกใช้ เวอร์ชัน และบทบาท
- CONN-01 · การเชื่อมต่อบริการ
- บทบาท: รักษาความลับการขนส่งและยืนยันคู่สื่อสาร; โปรโตคอล: HTTPS ไม่ทราบเวอร์ชัน TLS และอัลกอริทึมที่เจรจา; เจ้าของ: เจ้าของแพลตฟอร์ม ยังไม่ยืนยัน; แหล่ง: E-02 ขั้นต่อไป: ขอ configuration และหลักฐานการเจรจาที่อนุมัติ ไม่อนุมานการป้องกันตลอดเส้นทางจากแผนภาพ
ทบทวนความครอบคลุมและส่งมอบ
- ช่องว่าง
- ยังไม่ทราบ dependency ทางอ้อม อัลกอริทึม token จริง trust store จุดสิ้นสุดที่ผู้ให้บริการ และเวอร์ชันที่ติดตั้ง จึงสรุปว่าไม่มีความเสี่ยงไม่ได้
- เกณฑ์ปิดงาน
- เจ้าของฝั่งลูกค้าทบทวนขอบเขตและช่องว่างหลักฐาน นำ APP-01 และ CONN-01 ไปประเมินโดยคงความไม่แน่นอนไว้ การส่งมอบบัญชีไม่ยืนยันว่าค้นพบครบถ้วน