程序员征服安全 OWASP 十大 API 系列-数据泄露过多
过度数据泄露漏洞与OWASP清单上的其他API问题不同，因为它涉及一种非常特殊的数据。漏洞背后的实际机制与其他漏洞相似，但在这种情况下，过度数据泄露被定义为涉及受法律保护或高度敏感的数据。这可能包括任何个人身份信息，通常被称为 PII。或者它可能涉及支付卡行业信息或PCI。最后，过度的数据泄露可能包括受隐私法约束的任何信息，例如欧洲的《通用数据保护条例》（GDPR）或美国的《健康保险流通与责任法案》（HIPAA）。
正如你可能想象的那样，这令人深感担忧，精明的开发人员必须学会如何尽可能地消除这些错误。如果你已经准备好对抗数据暴露巨龙，那就去参加我们的游戏化挑战赛吧：
你的分数是多少？继续阅读并了解更多：
有哪些过度数据泄露的例子？
发生过度数据泄露的主要原因之一是开发人员和程序员对他们的应用程序将使用的数据类型没有足够的洞察力。因此，开发人员倾向于使用通用流程，将所有对象属性暴露给最终用户。
开发人员有时还会假设前端组件会在向用户显示任何信息之前执行数据过滤。对于大多数通用数据来说，这很少成为问题。但是，例如，将受法律保护或敏感的数据作为会话ID的一部分暴露给用户，从安全和法律的角度来看，可能会导致重大问题。
OWASP报告设想了一个场景，即保安人员有权访问设施中基于物联网的特定摄像机，以此举例说明敏感数据很容易被意外共享。也许这些摄像机正在监视封闭和安全的区域，而其他监视人员的摄像机本应仅限于具有更高权限的警卫或监督人员。
为了向警卫提供访问授权摄像机的权限，开发人员可以使用如下所示的 API 调用。
/api/sites/111/相机
作为回应，该应用程序将以以下格式发送警卫能够看到的摄像机的详细信息：
{“id”: “xxx”，“live_access_token”: “xxxxbbbb”，“building_id”: “yyy”}
从表面上看，这似乎效果很好。警卫在应用程序上使用图形用户界面，只能看到他们有权查看的摄像机画面。问题在于，由于使用的通用代码，实际的API响应将包含整个设施中所有摄像机的完整列表。任何在网络中窃取数据或泄露警卫账户的人都能够发现网络中每台摄像机的位置和命名法。然后，他们可以不受限制地访问这些数据。
消除过多的数据泄露
防止过度数据泄露的最大关键是了解数据及其周围的保护措施。创建通用 API 并让客户端在向用户显示数据之前对数据进行排序是一个危险的选择，它会导致许多可预防的安全漏洞。
除了了解相关的数据保护外，停止使用通用 API 向用户发送所有内容的过程也很重要。例如，必须避免使用诸如 to_json () 和 to_string () 之类的代码。取而代之的是，该代码应专门选择需要归还给授权用户的属性，并专门发送这些信息。
为了确保没有意外过度共享受保护的数据，组织应考虑实施基于架构的响应验证机制作为额外的安全层。它应该定义和强制所有API方法返回的数据，包括错误报告规则。
最后，所有归类为包含 PII 或 PCI 的数据，或受 GDPR 或 HIPAA 等法规保护的信息，都应使用高度加密进行保护。这样，即使这些数据的位置作为过度数据泄露漏洞的一部分泄露了，也有一道良好的次要防线，即使数据落入恶意用户或威胁行为者手中，也应该保护数据。
来看看 安全代码勇士 博客页面，详细了解此漏洞以及如何保护您的组织和客户免受其他安全漏洞的破坏。你也可以 试试演示 Secure Code Warrior 培训平台可让您的所有网络安全技能不断磨练并保持最新状态。
Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Secure Code Warrior kann Ihrem Unternehmen dabei helfen, Code während des gesamten Softwareentwicklungszyklus zu schützen und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, Chief Information Security Officer oder in einem anderen sicherheitsrelevanten Bereich tätig sind – wir können Ihrem Unternehmen dabei helfen, die mit unsicherem Code verbundenen Risiken zu minimieren.
Demo buchen
Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Matias ist ein Forscher und Entwickler mit mehr als 15 Jahren praktischer Erfahrung im Bereich der Softwaresicherheit. Er hat Lösungen für Unternehmen wie Fortify Software und sein eigenes Unternehmen Sensei Security entwickelt. Im Laufe seiner Karriere hat Matias mehrere Forschungsprojekte zur Anwendungssicherheit geleitet, die zu kommerziellen Produkten geführt haben, und kann auf über 10 Patente verweisen. Wenn er nicht am Schreibtisch sitzt, ist Matias als Ausbilder für fortgeschrittene Anwendungssicherheitstrainings courses tätig und hält regelmäßig Vorträge auf globalen Konferenzen wie RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec und BruCon.
Matias hat einen Doktortitel in Computertechnik von der Universität Gent, wo er die Sicherheit von Anwendungen durch Programmverschleierung untersuchte, um die innere Funktionsweise einer Anwendung zu verbergen.
过度数据泄露漏洞与OWASP清单上的其他API问题不同，因为它涉及一种非常特殊的数据。漏洞背后的实际机制与其他漏洞相似，但在这种情况下，过度数据泄露被定义为涉及受法律保护或高度敏感的数据。这可能包括任何个人身份信息，通常被称为 PII。或者它可能涉及支付卡行业信息或PCI。最后，过度的数据泄露可能包括受隐私法约束的任何信息，例如欧洲的《通用数据保护条例》（GDPR）或美国的《健康保险流通与责任法案》（HIPAA）。
正如你可能想象的那样，这令人深感担忧，精明的开发人员必须学会如何尽可能地消除这些错误。如果你已经准备好对抗数据暴露巨龙，那就去参加我们的游戏化挑战赛吧：
你的分数是多少？继续阅读并了解更多：
有哪些过度数据泄露的例子？
发生过度数据泄露的主要原因之一是开发人员和程序员对他们的应用程序将使用的数据类型没有足够的洞察力。因此，开发人员倾向于使用通用流程，将所有对象属性暴露给最终用户。
开发人员有时还会假设前端组件会在向用户显示任何信息之前执行数据过滤。对于大多数通用数据来说，这很少成为问题。但是，例如，将受法律保护或敏感的数据作为会话ID的一部分暴露给用户，从安全和法律的角度来看，可能会导致重大问题。
OWASP报告设想了一个场景，即保安人员有权访问设施中基于物联网的特定摄像机，以此举例说明敏感数据很容易被意外共享。也许这些摄像机正在监视封闭和安全的区域，而其他监视人员的摄像机本应仅限于具有更高权限的警卫或监督人员。
为了向警卫提供访问授权摄像机的权限，开发人员可以使用如下所示的 API 调用。
/api/sites/111/相机
作为回应，该应用程序将以以下格式发送警卫能够看到的摄像机的详细信息：
{“id”: “xxx”，“live_access_token”: “xxxxbbbb”，“building_id”: “yyy”}
从表面上看，这似乎效果很好。警卫在应用程序上使用图形用户界面，只能看到他们有权查看的摄像机画面。问题在于，由于使用的通用代码，实际的API响应将包含整个设施中所有摄像机的完整列表。任何在网络中窃取数据或泄露警卫账户的人都能够发现网络中每台摄像机的位置和命名法。然后，他们可以不受限制地访问这些数据。
消除过多的数据泄露
防止过度数据泄露的最大关键是了解数据及其周围的保护措施。创建通用 API 并让客户端在向用户显示数据之前对数据进行排序是一个危险的选择，它会导致许多可预防的安全漏洞。
除了了解相关的数据保护外，停止使用通用 API 向用户发送所有内容的过程也很重要。例如，必须避免使用诸如 to_json () 和 to_string () 之类的代码。取而代之的是，该代码应专门选择需要归还给授权用户的属性，并专门发送这些信息。
为了确保没有意外过度共享受保护的数据，组织应考虑实施基于架构的响应验证机制作为额外的安全层。它应该定义和强制所有API方法返回的数据，包括错误报告规则。
最后，所有归类为包含 PII 或 PCI 的数据，或受 GDPR 或 HIPAA 等法规保护的信息，都应使用高度加密进行保护。这样，即使这些数据的位置作为过度数据泄露漏洞的一部分泄露了，也有一道良好的次要防线，即使数据落入恶意用户或威胁行为者手中，也应该保护数据。
来看看 安全代码勇士 博客页面，详细了解此漏洞以及如何保护您的组织和客户免受其他安全漏洞的破坏。你也可以 试试演示 Secure Code Warrior 培训平台可让您的所有网络安全技能不断磨练并保持最新状态。
过度数据泄露漏洞与OWASP清单上的其他API问题不同，因为它涉及一种非常特殊的数据。漏洞背后的实际机制与其他漏洞相似，但在这种情况下，过度数据泄露被定义为涉及受法律保护或高度敏感的数据。这可能包括任何个人身份信息，通常被称为 PII。或者它可能涉及支付卡行业信息或PCI。最后，过度的数据泄露可能包括受隐私法约束的任何信息，例如欧洲的《通用数据保护条例》（GDPR）或美国的《健康保险流通与责任法案》（HIPAA）。
正如你可能想象的那样，这令人深感担忧，精明的开发人员必须学会如何尽可能地消除这些错误。如果你已经准备好对抗数据暴露巨龙，那就去参加我们的游戏化挑战赛吧：
你的分数是多少？继续阅读并了解更多：
有哪些过度数据泄露的例子？
发生过度数据泄露的主要原因之一是开发人员和程序员对他们的应用程序将使用的数据类型没有足够的洞察力。因此，开发人员倾向于使用通用流程，将所有对象属性暴露给最终用户。
开发人员有时还会假设前端组件会在向用户显示任何信息之前执行数据过滤。对于大多数通用数据来说，这很少成为问题。但是，例如，将受法律保护或敏感的数据作为会话ID的一部分暴露给用户，从安全和法律的角度来看，可能会导致重大问题。
OWASP报告设想了一个场景，即保安人员有权访问设施中基于物联网的特定摄像机，以此举例说明敏感数据很容易被意外共享。也许这些摄像机正在监视封闭和安全的区域，而其他监视人员的摄像机本应仅限于具有更高权限的警卫或监督人员。
为了向警卫提供访问授权摄像机的权限，开发人员可以使用如下所示的 API 调用。
/api/sites/111/相机
作为回应，该应用程序将以以下格式发送警卫能够看到的摄像机的详细信息：
{“id”: “xxx”，“live_access_token”: “xxxxbbbb”，“building_id”: “yyy”}
从表面上看，这似乎效果很好。警卫在应用程序上使用图形用户界面，只能看到他们有权查看的摄像机画面。问题在于，由于使用的通用代码，实际的API响应将包含整个设施中所有摄像机的完整列表。任何在网络中窃取数据或泄露警卫账户的人都能够发现网络中每台摄像机的位置和命名法。然后，他们可以不受限制地访问这些数据。
消除过多的数据泄露
防止过度数据泄露的最大关键是了解数据及其周围的保护措施。创建通用 API 并让客户端在向用户显示数据之前对数据进行排序是一个危险的选择，它会导致许多可预防的安全漏洞。
除了了解相关的数据保护外，停止使用通用 API 向用户发送所有内容的过程也很重要。例如，必须避免使用诸如 to_json () 和 to_string () 之类的代码。取而代之的是，该代码应专门选择需要归还给授权用户的属性，并专门发送这些信息。
为了确保没有意外过度共享受保护的数据，组织应考虑实施基于架构的响应验证机制作为额外的安全层。它应该定义和强制所有API方法返回的数据，包括错误报告规则。
最后，所有归类为包含 PII 或 PCI 的数据，或受 GDPR 或 HIPAA 等法规保护的信息，都应使用高度加密进行保护。这样，即使这些数据的位置作为过度数据泄露漏洞的一部分泄露了，也有一道良好的次要防线，即使数据落入恶意用户或威胁行为者手中，也应该保护数据。
来看看 安全代码勇士 博客页面，详细了解此漏洞以及如何保护您的组织和客户免受其他安全漏洞的破坏。你也可以 试试演示 Secure Code Warrior 培训平台可让您的所有网络安全技能不断磨练并保持最新状态。
Klicken Sie auf den folgenden Link und laden Sie die PDF-Datei dieser Ressource herunter.
Secure Code Warrior kann Ihrem Unternehmen dabei helfen, Code während des gesamten Softwareentwicklungszyklus zu schützen und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, Chief Information Security Officer oder in einem anderen sicherheitsrelevanten Bereich tätig sind – wir können Ihrem Unternehmen dabei helfen, die mit unsicherem Code verbundenen Risiken zu minimieren.
Bericht anzeigenDemo buchen
Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Matias ist ein Forscher und Entwickler mit mehr als 15 Jahren praktischer Erfahrung im Bereich der Softwaresicherheit. Er hat Lösungen für Unternehmen wie Fortify Software und sein eigenes Unternehmen Sensei Security entwickelt. Im Laufe seiner Karriere hat Matias mehrere Forschungsprojekte zur Anwendungssicherheit geleitet, die zu kommerziellen Produkten geführt haben, und kann auf über 10 Patente verweisen. Wenn er nicht am Schreibtisch sitzt, ist Matias als Ausbilder für fortgeschrittene Anwendungssicherheitstrainings courses tätig und hält regelmäßig Vorträge auf globalen Konferenzen wie RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec und BruCon.
Matias hat einen Doktortitel in Computertechnik von der Universität Gent, wo er die Sicherheit von Anwendungen durch Programmverschleierung untersuchte, um die innere Funktionsweise einer Anwendung zu verbergen.
过度数据泄露漏洞与OWASP清单上的其他API问题不同，因为它涉及一种非常特殊的数据。漏洞背后的实际机制与其他漏洞相似，但在这种情况下，过度数据泄露被定义为涉及受法律保护或高度敏感的数据。这可能包括任何个人身份信息，通常被称为 PII。或者它可能涉及支付卡行业信息或PCI。最后，过度的数据泄露可能包括受隐私法约束的任何信息，例如欧洲的《通用数据保护条例》（GDPR）或美国的《健康保险流通与责任法案》（HIPAA）。
正如你可能想象的那样，这令人深感担忧，精明的开发人员必须学会如何尽可能地消除这些错误。如果你已经准备好对抗数据暴露巨龙，那就去参加我们的游戏化挑战赛吧：
你的分数是多少？继续阅读并了解更多：
有哪些过度数据泄露的例子？
发生过度数据泄露的主要原因之一是开发人员和程序员对他们的应用程序将使用的数据类型没有足够的洞察力。因此，开发人员倾向于使用通用流程，将所有对象属性暴露给最终用户。
开发人员有时还会假设前端组件会在向用户显示任何信息之前执行数据过滤。对于大多数通用数据来说，这很少成为问题。但是，例如，将受法律保护或敏感的数据作为会话ID的一部分暴露给用户，从安全和法律的角度来看，可能会导致重大问题。
OWASP报告设想了一个场景，即保安人员有权访问设施中基于物联网的特定摄像机，以此举例说明敏感数据很容易被意外共享。也许这些摄像机正在监视封闭和安全的区域，而其他监视人员的摄像机本应仅限于具有更高权限的警卫或监督人员。
为了向警卫提供访问授权摄像机的权限，开发人员可以使用如下所示的 API 调用。
/api/sites/111/相机
作为回应，该应用程序将以以下格式发送警卫能够看到的摄像机的详细信息：
{“id”: “xxx”，“live_access_token”: “xxxxbbbb”，“building_id”: “yyy”}
从表面上看，这似乎效果很好。警卫在应用程序上使用图形用户界面，只能看到他们有权查看的摄像机画面。问题在于，由于使用的通用代码，实际的API响应将包含整个设施中所有摄像机的完整列表。任何在网络中窃取数据或泄露警卫账户的人都能够发现网络中每台摄像机的位置和命名法。然后，他们可以不受限制地访问这些数据。
消除过多的数据泄露
防止过度数据泄露的最大关键是了解数据及其周围的保护措施。创建通用 API 并让客户端在向用户显示数据之前对数据进行排序是一个危险的选择，它会导致许多可预防的安全漏洞。
除了了解相关的数据保护外，停止使用通用 API 向用户发送所有内容的过程也很重要。例如，必须避免使用诸如 to_json () 和 to_string () 之类的代码。取而代之的是，该代码应专门选择需要归还给授权用户的属性，并专门发送这些信息。
为了确保没有意外过度共享受保护的数据，组织应考虑实施基于架构的响应验证机制作为额外的安全层。它应该定义和强制所有API方法返回的数据，包括错误报告规则。
最后，所有归类为包含 PII 或 PCI 的数据，或受 GDPR 或 HIPAA 等法规保护的信息，都应使用高度加密进行保护。这样，即使这些数据的位置作为过度数据泄露漏洞的一部分泄露了，也有一道良好的次要防线，即使数据落入恶意用户或威胁行为者手中，也应该保护数据。
来看看 安全代码勇士 博客页面，详细了解此漏洞以及如何保护您的组织和客户免受其他安全漏洞的破坏。你也可以 试试演示 Secure Code Warrior 培训平台可让您的所有网络安全技能不断磨练并保持最新状态。
Verzeichnis
Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Secure Code Warrior kann Ihrem Unternehmen dabei helfen, Code während des gesamten Softwareentwicklungszyklus zu schützen und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, Chief Information Security Officer oder in einem anderen sicherheitsrelevanten Bereich tätig sind – wir können Ihrem Unternehmen dabei helfen, die mit unsicherem Code verbundenen Risiken zu minimieren.
Demo buchen下载Ressourcen, die Ihnen den Einstieg erleichtern
Themen und Inhalte der Sicherheitsschulung
Unsere branchenführenden Inhalte werden ständig weiterentwickelt, um sich an die sich wandelnde Softwareentwicklungslandschaft anzupassen und gleichzeitig Ihre Rolle zu berücksichtigen. Die Themen reichen von KI bis hin zu XQuery-Injection und sind für verschiedene Positionen geeignet, von Architekten und Ingenieuren bis hin zu Produktmanagern und QA-Mitarbeitern. Verschaffen Sie sich einen ersten Überblick nach Themen und Rollen und erfahren Sie, was unser Inhaltsverzeichnis zu bieten hat.
Die Kamer van Koophandel setzt Maßstäbe für entwicklergesteuerte Sicherheit in großem Maßstab
Die Kamer van Koophandel berichtet, wie sie sicheres Codieren durch rollenbasierte Zertifizierungen, Trust Score-Benchmarking und eine Kultur der gemeinsamen Verantwortung für Sicherheit in die tägliche Entwicklungsarbeit integriert hat.
%20(1).avif)
.avif)
Bedrohungsmodellierung mit KI: So wird jeder Entwickler zum Bedrohungsmodellierer
Sie werden besser gerüstet sein, um Entwicklern dabei zu helfen, Ideen und Techniken zur Bedrohungsmodellierung mit den KI-Tools zu kombinieren, die sie bereits verwenden, um die Sicherheit zu erhöhen, die Zusammenarbeit zu verbessern und von Anfang an widerstandsfähigere Software zu entwickeln.
Ressourcen, die Ihnen den Einstieg erleichtern
Cybermon ist zurück: Die KI-Mission zum Besiegen des Bosses ist jetzt auf Abruf verfügbar.
Cybermon 2025: Der Kampf gegen den Boss hat nun in SCW ganzjährig begonnen. Der Kampf um die Sicherheit von KI/LLM auf Stammesebene, die Entwicklung von Sicherheits-KI wird durch groß angelegte Modelle verstärkt.
Auslegung des Gesetzes zur Netzresilienz: Was bedeutet es, durch die Entwicklung von Design-Software Sicherheit zu erreichen?
Verstehen Sie die Anforderungen des EU-Gesetzes zur Netzresilienz (CRA), für wen es gilt und wie sich Ingenieurteams durch Designpraktiken, Schwachstellenprävention und Kompetenzaufbau für Entwickler darauf vorbereiten können.
Treibende Faktoren 1: Klare und messbare Erfolgskriterien
Enabler 1 ist der Auftakt zu unserer 10-teiligen Reihe über Erfolgsfaktoren. Er zeigt, wie sichere Codierung mit Geschäftsergebnissen wie Risikominderung und schnellerer Reifung langfristiger Pläne in Verbindung gebracht werden kann.
