1282722686

Marek Antczak, Zbigniew Świerczyński

Tabela 3. Procedura badań PTER- faza II

PTER, faza II- Testy właściwe
	Ścieżka techniczna	Ścieżka formalna (opcjonalna)
IIK1	Wykonanie testów: uwierzytelniania, autoryzacji oraz mechanizmów zarządzania sesją aplikacji.	Wykonanie analizy ewentualnych dokumentacji dotyczących mechanizmów uwierzytelniania, autoryzacji oraz zarządzania sesją.
IIK2	Wykonanie testów konfiguracji aplikacji, sprawdzenie błędów generowanych przez aplikację i jej komponenty oraz wykonanie testów mających na celu wykrycie podatności.	Wykonanie analizy ewentualnych dokumentacji dotyczących konfiguracji aplikacji.
IIK3	Wykonanie testów walidacji danych wejściowych w punktach określonych podczas realizacji kroku 4 fazy I (IK4).	Uzyskanie pisemnej zgody na wykonanie opcjonalnych destrukcyjnych testów właściwych (IIK5).
IIK4	Wykonanie testów logiki biznesowej aplikacji- jako opcja po uzgodnieniach ze stroną zlecającą.	Wykonanie analizy ewentualnych dokumentacji związanych z logiką biznesową aplikacji oraz przetwarzanymi w niej informacjami (celem przygotowania specyficznych scenariuszy testowych).
IIK5	Wykonanie testów dodatkowych (Web Services, test CMS, SSL itp).	Wykonanie lub weryfikacja analizy ryzyka związanej z testowaną aplikacją.
PTER, faza II- punkt kontrolny
IIPK	Zapisanie wyników w repozytorium testowym.	Udokumentowanie przeprowadzonych działań.

Kolejne kroki wchodzące w skład fazy II zostały opisane poniżej:

Krok 1 (IIK1) - testy mechanizmów uwierzytelniania, autoryzacji i zarządzania sesją.

Cel: sprawdzenie poprawności działania mechanizmów uwierzytelniania, autoryzacji użytkowników oraz zarządzania sesją.

Wejście: formatki logowania, mechanizm cookie, konto użytkownika, identyfikatory sesyjne.

Wyjście: opis przeprowadzonych badań, ewentualna lista błędów związanych z wymienionymi mechanizmami (np. niepoprawne zarządzanie sesją: Session Fixation, Session Poisoning).

Uzasadnienie: wykazanie racjonalnie uzasadnionego poziomu zaufania do stosowanych mechanizmów:    uwierzytelniania, autoryzacji

i zarządzania sesją.

52

Przegląd Teleinformatyczny. 1-2/2014