Catatan verifikasi keamanan aplikasi
Hubungkan persyaratan keamanan dengan kasus yang benar-benar dijalankan dan buktinya. Catat bagian yang belum diperiksa agar satu hasil tes tidak dianggap mewakili seluruh aplikasi.
Di halaman ini
Gunakan satu catatan per kasus
Isi setelah menetapkan lingkup dan harapan melalui rencana ASVS atau rencana mobile. Satu persyaratan dapat memiliki beberapa kasus; satu catatan bukan bukti pemenuhan seluruh standar.
Matriks pengujian hak akses membantu memilih kombinasi peran, objek dan tindakan. Lembar ini mencatat versi rujukan, pelaksanaan, bukti serta batas untuk tiap kasus yang dipilih, termasuk pemeriksaan selain akses.
Contoh terisi dengan data buatan
Contoh berikut merujuk hasil fixture lokal Kompli 1.0, bukan laporan pelanggan. Data dan identitas A/B sepenuhnya buatan.
| Catatan | Isian contoh |
|---|---|
| Kasus / rujukan | AK-02, ASVS 5.0.0, v5.0.0-8.2.2. |
| Objek / kondisi | Node 24.21.0, server loopback; identitas buatan A meminta laporan B. |
| Harapan / langkah | Jalankan permintaan baca; 403 tanpa REPORT_B_DEMO. Jalankan A → A sebagai kontrol positif. |
| Hasil awal | Build bad: 200 dan laporan B terbuka; gagal. |
| Perbaikan / retest | Build fixed memeriksa pemilik objek: A → B mendapat 403 tanpa data B; A → A tetap 200. |
| Bukti / batas | observed-asvs.json pada paket lab; satu endpoint baca, autentikasi nyata dan endpoint lain belum diperiksa. |
Source, hasil dan petunjuk ada di paket lab verifikasi. Unduhan lembar kosong pada halaman ini tidak berisi contoh terisi tersebut.
Periksa sebelum menutup hasil
Pastikan bukti menunjukkan kondisi yang diperiksa dan build yang benar. Jangan menandai lulus hanya karena tidak ada pesan error; bandingkan perilaku dengan harapan dan periksa isi/efek sampingnya. Jika alat tidak bisa mengakses lokasi tertentu, catat keterbatasan itu.
Simpan bukti di lokasi yang aksesnya dibatasi, dengan masa simpan sesuai kebutuhan. Lembar cukup memuat referensi; hindari kata sandi, token, private key dan data pelanggan. Retest memakai versi perbaikan dan menjaga bukti awal tetap tersedia.
Untuk contoh mobile, lanjutkan ke penyimpanan dan jaringan. Status “memenuhi harapan kasus” berlaku pada kondisi yang dicatat; tidak menyatakan aplikasi bebas dari semua kerentanan.
Pakai lembar yang sama untuk alur tambahan
Lab keamanan aplikasi 1.0 menyimpan hasil passkey, transaksi, GraphQL, sesi/karantina dan iOS. Gunakan satu catatan untuk satu kasus, lengkap dengan batas. Contoh iOS di simulator tidak menjadi bukti perangkat fisik; model persetujuan recovery tidak membuktikan identitas manusia.
Buka rencana ASVS beberapa alur untuk pemetaan ID/versi serta pekerjaan yang belum diperiksa. Struktur dan unduhan lembar kosong tetap sama; hasil pengujian berada dalam paket lab terpisah.
Lembar kosong
Unduh dan isi salinan sendiri, atau cetak halaman ini. Salin lembar untuk setiap catatan baru. Isian tidak dikirim ke Kompli.
| Kolom dan petunjuk | Isian Anda |
|---|---|
| Identitas kasus dan rujukan ID internal, nama/versi standar, ID persyaratan atau metode dan tanggal snapshot bila sumber berkembang terus. | |
| Objek dan versi build Aplikasi, endpoint/fitur, platform, build/hash serta lingkungan yang diizinkan. | |
| Kondisi awal Akun/peran buatan, pemilik data, konfigurasi, perangkat/API dan persiapan; jangan menulis kredensial. | |
| Langkah dan metode Tindakan yang dijalankan, pemeriksaan source/konfigurasi atau runtime, input buatan dan cara membaca hasil. | |
| Hasil yang diharapkan Perilaku yang harus muncul/tidak muncul, isi respons, keadaan data serta kontrol positif. | |
| Hasil aktual dan status Respons/keadaan nyata; memenuhi harapan kasus, gagal, belum diperiksa atau tidak berlaku beserta alasan. | |
| Bukti dan batas Lokasi terkendali, waktu, versi, keluaran yang disamarkan serta platform/alur yang belum diperiksa. | |
| Perbaikan dan uji ulang Pemilik, versi perbaikan, tanggal, hasil retest dan kasus regresi; simpan bukti lama. |
Sumber rujukan
- OWASP Application Security Verification Standard ↗OWASP Foundation; standar verifikasi aplikasi · Referensi persyaratan bersama versi; format lembar ini orisinal Kompli.
- OWASP MASTG-TEST-0207 — data tidak terenkripsi pada penyimpanan aplikasi Android ↗OWASP Foundation; metode pengujian teknis · Langkah, pengamatan dan evaluasi pada lingkungan yang dicatat; bukan bukti seluruh MASTG telah dilakukan.
Baca naskah lengkap untuk melihat syarat dan pengecualiannya. Sesuaikan dengan layanan dan bidang usaha Anda.
Perlu membahas kebutuhan tim Anda?
Ceritakan sistem yang dikelola dan kebutuhan pengamanan tim Anda.
Konsultasikan kebutuhan Anda