如何确定软件流程/业务流程是足够安全的

Question

在大多数情况下，当我们开发一个软件流程来实现业务逻辑时，我们通常会做出一些决策，以实现系统的安全和舒适的使用，并可能使业务成功。

例如，验证试图更新系统上重要数据的成员(如信用卡数据等)。我们可以决定通过短信与OTP确认。因此，我们可以发送4位码，并要求确认。但是首先，我们如何确保通过SMS的OTP对我们的进程来说是足够安全的？我们应该发送多长时间的OTP，4位够了吗？只使用数字而不是字母足够安全吗？当然，我们总是试图让成员们变得更容易，这样他们就会感到舒服，并且不会决定停止使用我们的系统。否则，我们可能会尽我们所能去做，这样它就会更安全。

当然，这并不是一个具体的问题和答案，但我问这个问题是为了了解是否有方法或统计方法来决定业务流程或软件流程在统计上是否安全？因为大多数情况下，我们都是根据自己的和一些同事的意见来决定的，其他的都是无法衡量的。一定有办法处理这些问题吗？

有什么想法吗？

Answer 1

基本上，您需要进行风险评估，而公司需要确定它们的限制。

风险评估

用于识别公司的风险。在信息安全中，这些风险以马裤/社会工程/etc的形式出现。

风险=潜在损失X发生某事的概率

风险评估使用两种形式的是将价值应用于评估。

定量

定量是对价值的一种评估，通常是对它的数值。例如，您可以测量输入数据行的数值，并将其与您的公司将遭受的损失(以美元计算)进行比较，如果我们要降低这些数据行的话

质性

定性是一种价值的评估，通常不能用数字的形式来衡量。例如，对于攻击者来说，通过社会工程师的方式进入变更账户信息是多么容易。

作为一些建议，如果你从来没有做过风险评估，我强烈建议你聘请一家公司与你一起做一个小评估。有很多可以进入这些，虽然互联网有很大的资源，它是什么，你正试图用它完成什么。在执行的时候地图上到处都是。学习别人是如何做到的，了解其中的内容，而不是接受这些知识，并在此基础上加以改进。

Answer 2

当然，8个字母数字数字比4个数字数字“更安全”。

但是也有几个攻击向量通过SMS发送OTP。所以我不会猜测一个4伪随机4位数，但我会

1. 攻击部署进程。4位数是使用秘密密钥或随机数生成器生成的一些家庭成员。也许我能帮上忙。
2. 只需在短时间内窃取用户的手机即可攻击它。就连谢尔顿也能在大爆炸理论中做到这一点
3. 偷人的电话号码。几年前，这是通过伪造个人身份并将移动电话号码转移到一个新的供应商而取得成功的。我会收到所有的短信。
4. 建立一个基地收发器站，让受害者的电话连接到我的BTS。

肖恩已经给你留下了“足够安全”对你意味着什么的印象。

如果您想在第二个因素上更加安全，您可能还会考虑使用象yubikey这样的硬件令牌，您可以自己初始化它。开源解决方案privacyIDEA支持所有这些方式，SMS，硬件令牌，yubikey.因此，您可以决定在哪个进程中具有哪个级别的安全性。