O.Purp 9: Unterschied zwischen den Versionen

Aktuelle Version vom 26. Juli 2024, 17:54 Uhr

Beschreibung

Die Web-Anwendung DARF sensible Daten NICHT auf dem Bildschirm darstellen, außer dies ist für den primären Zweck der Anwendung erforderlich.

Kurzfassung

Nur zweckgebundene Darstellung sensibler Daten auf dem Bildschirm.

Testcharakteristik

Prüftiefe

Bezeichnung	Mindestanforderungen an die Prüfung
CHECK	Der Evaluator validiert (englisch „check“, analog zu Begriffsverwendung in der Common Criteria Evaluation Methodology) die vom Hersteller beschriebene Maßnahme im Hinblick auf ihre Wirksamkeit und räumt bestehende Zweifel (Plausibilitätsprüfung) aus, ob der Prüfaspekt und die damit verbundene Sicherheitsproblematik umfassend durch die beschriebenen Maßnahmen adressiert wird. Hierbei MUSS der Evaluator den aktuellen Stand der Technik für die jeweilige Plattform mitberücksichtigen. Die Validierung KANN weitergehende Schritte, wie z.B. eine Quelltextanalyse, umfassen, falls der Evaluator diese für eine umfassende Einschätzung benötigt.

Ergänzende Informationen für Evaluatoren

Der Evaluator prüft die Abwägungen des Herstellers, ob die Darstellung von sensiblen Daten zum gegebenen Zeitpunkt für die Erfüllung des Zwecks der Anwendung erforderlich ist. Für die Risikobewertung ist zu berücksichtigen, wie die Anwendung den Nutzer davor schützt, sensible Daten anzuzeigen (vergleiche T.VisibleAsset). Bei Formularen muss die Web-Anwendung den Web-Browser anweisen, die Eingabe bei sensiblen Daten auszublenden (type="password") und Eingaben geeignet zu behandeln.

Lösungsansätze

Weblinks

Ressourcen und Einzelnachweise

@@ Zeile 1: / Zeile 1: @@
 == Beschreibung ==
+[[Beschreibung::
 Die Web-Anwendung DARF sensible Daten NICHT auf dem Bildschirm darstellen, außer dies ist für den primären Zweck der Anwendung erforderlich.
+]]
 == Kurzfassung ==
+[[Kurzfassung::
 Nur zweckgebundene Darstellung sensibler Daten auf dem Bildschirm.
+]]
-== Anmerkungen ==
+== Testcharakteristik ==
 ==== Prüftiefe ====
-<br />
+{|class="wikitable" style="width:50%; border: 1px solid black;"
-:: '''CHECK'''
+|-
+! style="background-color: #f2f2f2;" | Bezeichnung
+! style="background-color: #f2f2f2;" | Mindestanforderungen an die Prüfung
+|-
+| [https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR03161/BSI-TR-03161-2.pdf?__blob=publicationFile&v=10#%5B%7B%22num%22%3A65%2C%22gen%22%3A0%7D%2C%7B%22name%22%3A%22XYZ%22%7D%2C54%2C725%2C0%5D CHECK]
+| Der Evaluator validiert (englisch „check“, analog zu Begriffsverwendung in der Common Criteria Evaluation Methodology) die vom Hersteller beschriebene Maßnahme im Hinblick auf ihre Wirksamkeit und räumt bestehende Zweifel (Plausibilitätsprüfung) aus, ob der Prüfaspekt und die damit verbundene Sicherheitsproblematik umfassend durch die beschriebenen Maßnahmen adressiert wird. Hierbei [https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR03161/BSI-TR-03161-2.pdf?__blob=publicationFile&v=10#%5B%7B%22num%22%3A15%2C%22gen%22%3A0%7D%2C%7B%22name%22%3A%22XYZ%22%7D%2C54%2C243%2C0%5D MUSS] der Evaluator den aktuellen Stand der Technik für die jeweilige Plattform mitberücksichtigen. Die Validierung [https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR03161/BSI-TR-03161-2.pdf?__blob=publicationFile&v=10#%5B%7B%22num%22%3A15%2C%22gen%22%3A0%7D%2C%7B%22name%22%3A%22XYZ%22%7D%2C54%2C243%2C0%5D KANN] weitergehende Schritte, wie z.B. eine Quelltextanalyse, umfassen, falls der Evaluator diese für eine umfassende Einschätzung benötigt.
+|}
 <br />
+==== Ergänzende Informationen für Evaluatoren ====
+[[Anmerkungen::
 Der Evaluator prüft die Abwägungen des Herstellers, ob die Darstellung von sensiblen Daten zum gegebenen Zeitpunkt für die Erfüllung des Zwecks der Anwendung erforderlich ist. Für die Risikobewertung ist zu berücksichtigen, wie die Anwendung den Nutzer davor schützt, sensible Daten anzuzeigen (vergleiche T.VisibleAsset). Bei Formularen muss die Web-Anwendung den Web-Browser anweisen, die Eingabe bei sensiblen Daten auszublenden (type="password") und Eingaben geeignet zu behandeln.
+]]
 == Lösungsansätze ==
-=== Entwicklerseitig ===
-;Anonymisierung und Maskierung
-:Es ist wichtig vertrauenswürdige Daten wie Passwörter oder Kartennummern zu verschleiern, indem man Passwörter nicht dauerhaft in Klarschrift anzeigt oder bei Kartennummern beispielsweise nur die letzten Ziffern zum Abgleich anzeigt.
-<pre>
-def mask_credit_card_number(credit_card_number):
-    # Maskiere die ersten 12 Ziffern der Kreditkartennummer
-    masked_number = "*" * 12 + credit_card_number[-4:]
-    return masked_number
-# Beispielaufruf der Funktion
-credit_card_number = "1234567812345678"
-masked_number = mask_credit_card_number(credit_card_number)
-print("Masked Credit Card Number:", masked_number)
-</pre>
-;Berechtigung und Zugriff
-:Die Implementierung von Berechtigungs- und Zugriffsfunktionen ist elementar für eine sichere Anwendung.
-<pre>
-function displaySensitiveData(user) {
-    if (user.role === 'admin') {
-        // Nur Admins haben Zugriff auf sensible Daten
-        console.log("Sensitive Data:", sensitiveData);
-    } else {
-        console.log("Access Denied: Insufficient Permissions");
-    }
-}
-// Beispielaufruf der Funktion mit Benutzerobjekt
+== Weblinks ==
-var currentUser = { role: 'user' }; // Beispielbenutzer mit Benutzerrolle
-displaySensitiveData(currentUser);
-</pre>
-</pre>
+== Ressourcen und Einzelnachweise ==
+[[Category:CHECK]]
+[[Category: Purp]]