Vai droši veidot aplikāciju ar AI?

Izmēģini tās pret jebkuru aplikāciju, kas tev jau ir, vai pajautā tam, kas to būvēja. Katrai ir vienkāršs apraksts, ko tā tev maksā, un veids, kā to pašam pārbaudīt.

• Atstāti atvērti datubāzes noteikumi

  Kas tas ir Firestore un Supabase piegādā ar pielaidīgiem izstrādes noteikumiem. Noteikums allow read, write: if true nozīmē, ka jebkurš internetā var lasīt un pārrakstīt visu datubāzi no pārlūka konsoles.

  Ko tas maksā Pilna datu noplūde un VDAR pārkāpums, ko automātiski skeneri atklāj dažu stundu laikā.

  Kā pārbaudīt Pajautā, vai datubāzes noteikumi ir mainīti no izstrādes noklusējuma un kas tos pārskatīja.

• Uz klientu nosūtīti noslēpumi

  Kas tas ir API atslēgas, pakalpojumu kontu akreditācijas dati un maksājumu noslēpumi, iebūvēti aplikācijas pakotnē vai priekšpuses JavaScript, kur jebkurš tos var izvilkt.

  Ko tas maksā Ar mērītu API kāda cita lietošana kļūst par tavu rēķinu. Ar maksājumu atslēgu, tieša krāpšana.

  Kā pārbaudīt Pajautā, vai kādas slepenās atslēgas atrodas aplikācijā vai priekšpusē un vai tām nevajadzētu būt serverī.

• Autorizācija pārbaudīta tikai saskarnē

  Kas tas ir Pogas paslēpšana neaizsargā galapunktu. Ja pārbaude netiek īstenota serverī, galapunkts ir publisks jebkuram, kas to izsauc tieši.

  Ko tas maksā Lietotāji sasniedz datus un darbības, kam vajadzētu būt aizliegtām, tostarp citu cilvēku ierakstus.

  Kā pārbaudīt Pajautā, vai atļaujas tiek īstenotas serverī, nevis tikai saskarnē.

• Nav ātruma ierobežojuma vai bota apstiprināšanas

  Kas tas ir Galapunkti bez ierobežojuma, cik bieži tos var izsaukt, un bez pārbaudes, ka izsaucējs ir tava īstā aplikācija.

  Ko tas maksā Akreditācijas datu piebāšana, kontu uzskaitīšana un izmaksu uzbrukumi, kas uzskrūvē tavu API rēķinu.

  Kā pārbaudīt Pajautā, vai jutīgiem galapunktiem ir ātruma ierobežojums un aplikācijas apstiprināšana, piemēram, App Check.

• Paredzami ierakstu ID

  Kas tas ir Secīgi vai uzminami identifikatori pieprasījumos, tāpēc skaitļa nomaiņa URL atgriež cita cilvēka ierakstu.

  Ko tas maksā Viens klients var izlasīt cita klienta datus, rediģējot pieprasījumu.

  Kā pārbaudīt Pajautā, vai piekļuve ierakstiem ir saistīta ar pieteikušos lietotāju, nevis ar uzminamu ID.

• Cenas, kam uzticas no klienta puses

  Kas tas ir Aplikācija pasaka serverim, cik iekasēt. Ja klients nosaka cenu, klients var to iestatīt uz nulli.

  Ko tas maksā Pasūtījumi par cenām, par kurām nekad nevienojies, un ieņēmumi, ko neatgūt.

  Kā pārbaudīt Pajautā, vai cenas un kopsummas tiek aprēķinātas un pārbaudītas serverī.

• Personas dati bez tiesiskā pamata vai dzēšanas ceļa

  Kas tas ir Personas datu vākšana bez privātuma politikas, bez norādīta tiesiskā pamata un bez veida, kā lietotājs var likt savus datus dzēst.

  Ko tas maksā VDAR problēma vēl pirms drošības problēmas un izplatīts iemesls, kāpēc aplikācijas noraida no App Store.

  Kā pārbaudīt Pajautā pēc privātuma politikas un procesa, ko lietotājs iziet, lai pieprasītu dzēšanu.

• Noslēpumi, kas nonākuši git vēsturē

  Kas tas ir Atslēgas noņemšana no pašreizējā faila to nenoņem no repozitorija vēstures, kur tā paliek lasāma.

  Ko tas maksā Noplūdusi atslēga, kas izskatās salabota, bet joprojām ir dzīva reģistrācijas žurnālā.

  Kā pārbaudīt Pajautā, vai git vēsture ir noskenēta pēc noslēpumiem un vai atklātās atslēgas ir nomainītas.

• Nav reģistrēšanas

  Kas tas ir Bez audita pēdām pārkāpums ir ne tikai iespējams, tas ir neredzams. Tu nevari 72 stundu laikā ziņot par incidentu, ko nevari redzēt.

  Ko tas maksā Neatklājams pārkāpums un nokavēts juridiskais paziņošanas termiņš.

  Kā pārbaudīt Pajautā, kas tiek reģistrēts, kur žurnāli atrodas un kas pamanītu anomāliju.

• Neuzturētas atkarības

  Kas tas ir Koda bāze bez īpašnieka ir koda bāze, kur neviens neseko drošības brīdinājumiem bibliotēkās, uz kurām tā paļaujas.

  Ko tas maksā Zināmas ievainojamības, kas paliek atvērtas ilgi pēc tam, kad labojums pastāv.

  Kā pārbaudīt Pajautā, kas uzrauga atkarības pēc brīdinājumiem un cik bieži tās tiek atjauninātas.

• Nav dublējumu un nav pārbaudītas atjaunošanas

  Kas tas ir Dublējumi, kas neeksistē, vai dublējumi, no kuriem neviens nekad nav mēģinājis atjaunot.

  Ko tas maksā Viens slikts izvietojums vai uzbrukums var izbeigt biznesu, bez ceļa atpakaļ.

  Kā pārbaudīt Pajautā, kad pēdējo reizi tika pārbaudīta atjaunošana no dublējuma, nevis tikai vai dublējumi darbojas.