V8.1.2 General Data Protection

Requirement:

Verify that all cached or temporary copies of sensitive data stored on the server are protected from unauthorized access or purged/invalidated after the authorized user accesses the sensitive data.

Explanation:

Требование направлено на защиту конфиденциальных данных, которые кэшируются или временно хранятся на сервере. Основная задача состоит в том, чтобы обеспечить защиту этих данных от несанкционированного доступа и их очистку или аннулирование после того, как к ним обратится авторизованный пользователь.

1. Caching and Temporary Storage: Многие веб-приложения используют механизмы кэширования или временного хранения данных для повышения производительности и снижения нагрузки на внутренние сервера. Это может быть хранение данных в памяти сервера, файловом кэше или других механизмах хранения.
2. Sensitive Data Protection: Конфиденциальные данные, такие как персональная информация (PII), финансовые документы, медицинская информация или другие конфиденциальные данные, должны быть защищены от несанкционированного доступа. Несанкционированный доступ может привести к утечке данных или нарушению конфиденциальности, что чревато нормативными и юридическими последствиями.
3. Authorized User Access: Когда авторизованный пользователь, имеющий соответствующие разрешения на доступ к конфиденциальным данным, запрашивает эти данные, приложение должно предоставить их без каких-либо проблем. Однако в требовании подчеркивается, что после получения доступа к данным авторизованным пользователем они должны считаться конфиденциальными и больше не кэшироваться и не храниться в исходном виде.
4. Purge or Invalidation: Для выполнения этого требования в приложении должны быть реализованы механизмы очистки или аннулирования кэшированных или временно хранящихся конфиденциальных данных после обращения к ним авторизованного пользователя. Это означает, что данные должны быть удалены из кэша или хранилища, что делает их недоступными для последующего несанкционированного доступа.
5. Access Control and Authorization: Для проверки наличия необходимых разрешений у пользователя, запрашивающего конфиденциальные данные, должны быть созданы соответствующие механизмы контроля доступа и авторизации. Это включает в себя проведение аутентификации и авторизации для подтверждения идентификации пользователя и его прав.
6. Data Encryption: В ситуациях, когда конфиденциальные данные временно хранятся, они должны быть зашифрованы, чтобы даже при кратковременном нахождении в кэше они оставались защищенными.
7. Logging and Auditing: Внедрите механизмы регистрации и аудита для отслеживания доступа к конфиденциальным данным и проверки того, что эти данные удаляются или аннулируются по мере необходимости.
8. Regulatory Compliance: Убедитесь, что меры по защите данных, включая обработку конфиденциальных данных в кэше, соответствуют соответствующим нормативным документам по защите данных, таким как GDPR, HIPAA или PCI DSS, в зависимости от того, что применимо к вашему приложению.

Существует два типа атак:

• Web cache poisoning attack - злоумышленник заставляет приложение сохранять вредоносный контент в кеше, и этот контент обслуживается из кеша другим пользователям приложения.
• Web cache deception attack - злоумышленник заставляет приложение хранить в кеше конфиденциальный контент, принадлежащий другому пользователю, а затем злоумышленник извлекает этот контент из кеша.

Remediation:

To remediate your application in compliance with the OWASP ASVS Requirement V8.1.2 (General Data Protection), which focuses on protecting cached or temporarily stored sensitive data from unauthorized access and ensuring that it is purged or invalidated after authorized user access, you can follow these steps:

1. Data Classification: Start by identifying and classifying sensitive data within your application. This could include personally identifiable information (PII), financial data, health records, or any other type of data that should not be exposed to unauthorized parties.
2. Access Control and Authorization: Implement robust access control and authorization mechanisms to ensure that only authorized users can access sensitive data. This includes proper authentication and authorization checks to verify the user's identity and rights.
3. Cache Policy: Define a clear cache policy that outlines how sensitive data should be managed. Specify that sensitive data should only be stored temporarily and that it should be purged or invalidated after an authorized user accesses it.
4. Encryption: When sensitive data is temporarily stored in cache or other storage mechanisms, ensure that it is encrypted. Encryption protects the data from exposure even if it remains in the cache briefly. Use strong encryption algorithms and key management practices.
5. Cache Invalidation: Implement cache invalidation mechanisms that remove sensitive data from the cache or storage after it has been accessed by an authorized user. This ensures that the data is no longer accessible to subsequent unauthorized access.
6. Logging and Auditing: Set up comprehensive logging and auditing to track access to sensitive data and verify that it is purged or invalidated as required. Logs should include details about who accessed the data and when.
7. Testing and Validation: Thoroughly test the application to ensure that sensitive data is adequately protected and that cache policies are being enforced. Use automated testing tools, manual testing, and code reviews to verify that data protection measures are effective.
8. Documentation and Training: Document your data protection measures, including cache policies, encryption practices, and access control. Ensure that your development team is aware of these policies and is trained on best practices for data protection. Regulatory Compliance: Ensure that your data protection policies and practices align with relevant data protection regulations and industry standards, such as GDPR, HIPAA, or PCI DSS, as applicable to your application.

Cache-Control

• Apache: Header set Cache-Control "public, must-revalidate"
• Nginx: add_header Cache-Control "public, must-revalidate";
• IIS: -
• Tomcat: Enabled by default

Additional: