En aquest tema, explorarem els diferents nivells de verificació establerts per l'OWASP ASVS (Application Security Verification Standard). Els nivells de verificació proporcionen una guia estructurada per avaluar la seguretat de les aplicacions en funció de la seva complexitat i del risc associat. Aquests nivells ajuden a establir un estàndard comú per a la seguretat de les aplicacions, permetent una avaluació coherent i repetible.

Al final d'aquest tema, hauràs de ser capaç de:

1. Comprendre els diferents nivells de verificació de l'ASVS.
2. Identificar quin nivell de verificació és adequat per a diferents tipus d'aplicacions.
3. Aplicar els nivells de verificació en l'avaluació de la seguretat d'una aplicació.

L'ASVS defineix tres nivells de verificació, cadascun amb un conjunt específic de requisits de seguretat. Aquests nivells són:

1. Nivell 1: Verificació Oportunista
2. Nivell 2: Verificació Estàndard
3. Nivell 3: Verificació Avançada

Aquest nivell és el mínim requisit per a qualsevol aplicació. Està dissenyat per a aplicacions amb un risc baix i que no gestionen informació sensible. Els requisits en aquest nivell són bàsics i cobreixen les vulnerabilitats més comunes.

Objectius del Nivell 1:

• Assegurar que l'aplicació no té vulnerabilitats conegudes.
• Implementar controls de seguretat bàsics.

Exemples de Requisits:

• Validació d'entrada bàsica.
• Protecció contra injeccions SQL.
• Autenticació i gestió de sessions bàsiques.

Aquest nivell és adequat per a la majoria d'aplicacions, especialment aquelles que gestionen informació sensible o que tenen un risc moderat. Els requisits en aquest nivell són més detallats i cobreixen una àmplia gamma de controls de seguretat.

Objectius del Nivell 2:

• Proporcionar una seguretat raonable per a aplicacions amb informació sensible.
• Implementar controls de seguretat més avançats.

Exemples de Requisits:

• Validació d'entrada avançada.
• Protecció contra Cross-Site Scripting (XSS).
• Controls d'accés detallats.

Aquest nivell és per a aplicacions amb un risc alt, com ara aplicacions financeres, de salut o governamentals. Els requisits en aquest nivell són molt detallats i cobreixen tots els aspectes de la seguretat de l'aplicació.

Objectius del Nivell 3:

• Proporcionar la màxima seguretat per a aplicacions crítiques.
• Implementar controls de seguretat exhaustius.

Exemples de Requisits:

• Validació d'entrada rigorosa.
• Protecció contra atacs avançats com la deserialització insegura.
• Monitoratge i registre exhaustius.

Exercici: Identificació del Nivell de Verificació Adequat

1. Llegeix les descripcions següents d'aplicacions i identifica quin nivell de verificació seria més adequat per a cadascuna.

   a. Una aplicació de xarxes socials que permet als usuaris compartir fotos i missatges.

   b. Una aplicació bancària que gestiona transaccions financeres i informació personal dels usuaris.

   c. Un bloc personal que publica articles sobre tecnologia.

Solucions:

1. a. Nivell 2: Verificació Estàndard (gestiona informació sensible dels usuaris).

   b. Nivell 3: Verificació Avançada (gestiona informació financera i personal crítica).

   c. Nivell 1: Verificació Oportunista (risc baix, no gestiona informació sensible).

Els nivells de verificació de l'ASVS proporcionen una guia estructurada per avaluar la seguretat de les aplicacions en funció del seu risc i complexitat. Comprendre aquests nivells i saber aplicar-los és essencial per garantir que les aplicacions siguin segures i compleixin amb els estàndards de seguretat establerts. En el pròxim tema, explorarem els requisits de seguretat específics per a cada nivell de verificació.