ແບບຈຳລອງໄພຄຸກຄາມດ້ານການແປພາສາ

ການຈ້າງງານພາຍນອກ ຫຼື ການແປພາສາແບບ Crowd-sourcing ໄປໃຫ້ບຸກຄົນທີສາມນຳມາເຊິ່ງຄວາມສ່ຽງດ້ານຄວາມປອດໄພ ແລະ ຄວາມເປັນສ່ວນຕົວເພີ່ມເຕີມ. ບໍ່ເໝືອນກັບທີມພັດທະນາພາຍໃນ, ນັກແປອາດມີຄວາມສຳພັນດ້ານຄວາມໄວ້ວາງໃຈທີ່ຈຳກັດກັບອົງກອນ ແລະ ອາດປະຕິບັດງານຈາກເຂດອຳນາດຕັດສິນຕ່າງໆ. ແບບຈຳລອງນີ້ລະບຸ ແລະ ຈັດປະເພດໄພຄຸກຄາມທີ່ກ່ຽວຂ້ອງກັບນັກແປພາຍນອກ.

ຂໍ້ສົມມຸດຕິຖານຫຼັກ

  • ນັກແປອາດເປັນຜູ້ຮັບເໝົາ, ອາສາສະໝັກ, ຫຼື ອົງການຕ່າງໆທີ່ມີລະດັບການກວດສອບທີ່ແຕກຕ່າງກັນ.

  • ນັກແປຕ້ອງການການເຂົ້າເຖິງ Weblate.

  • ຂໍ້ຄວາມໃນການແປອາດມີເນື້ອຫາທີ່ລະອຽດອ່ອນ ເຊັ່ນ: ຟີເຈີທີ່ຍັງບໍ່ທັນເປີດຕົວ, ຂໍ້ກຳນົດທາງກົດໝາຍ, ຫຼື ຂໍ້ຄວາມດ້ານຄວາມປອດໄພ.

  • ອົງກອນມີການຄວບຄຸມຈຳກັດຕໍ່ສະພາບແວດລ້ອມພາຍໃນຂອງນັກແປ.

ປະເພດໄພຄຸກຄາມ (STRIDE)

1. ການປອມແປງ (Spoofing)

  • S1. ບັນຊີນັກແປປອມທີ່ແອບອ້າງເປັນຜູ້ປະກອບສ່ວນຕົວຈິງ.

2. ການແຊກແຊງ (Tampering)

  • T1. ການແປພາສາທີ່ເປັນອັນຕະລາຍເຊິ່ງຝັງ Payload ທີ່ເປັນອັນຕະລາຍໄວ້.

    • ຄວາມສ່ຽງ: ການແຊກ JavaScript, HTML, ຫຼື ການໂຈມຕີດ້ວຍ format-string ຖ້າການແປພາສາບໍ່ໄດ້ຖືກ Escape ຢ່າງຖືກຕ້ອງ.

    • ມາດຕະການບັນເທົາ:

      • ນຳໃຊ້ການກວດສອບ Input ທີ່ເຂັ້ມງວດໃນ Weblate. ການບັງຄັບໃຊ້ການກວດສອບຄຸນນະພາບເຊັ່ນ HTML ທີ່ບໍ່ປອດໄພ ອາດຊ່ວຍໄດ້. ເບິ່ງ ການກວດສອບຄຸນນະພາບ ແລະ ການກວດສອບທີ່ບັງຄັບ.

      • ໃຊ້ການສະແກນຄວາມປອດໄພແບບອັດຕະໂນມັດສຳລັບໄຟລ໌ການແປພາສາໃນ CI ຂອງທ່ານ.

      • ຈຳກັດການໃຊ້ Markup ທີ່ອັນຕະລາຍຈາກໄຟລ໌ການແປພາສາ. ຂຶ້ນກັບ Framework ການແປພາສາທີ່ໃຊ້, ນີ້ອາດເປັນໄປໂດຍອັດຕະໂນມັດ, ເປັນທາງເລືອກ, ຫຼື ຕ້ອງການ Library ຂອງບຸກຄົນທີສາມ.

  • T2. ການແຊກການແປພາສາທີ່ເຮັດໃຫ້ເຂົ້າໃຈຜິດ.

    • ຄວາມສ່ຽງ: ຜູ້ໃຊ້ຖືກເຮັດໃຫ້ເຂົ້າໃຈຜິດກ່ຽວກັບພຶດຕິກຳຂອງແອັບພລິເຄຊັນ (ຕົວຢ່າງ: ການແປ Dialog ການຍິນຍອມຜິດ).

    • ມາດຕະການບັນເທົາ:

3. ການປະຕິເສດຄວາມຮັບຜິດຊອບ (Repudiation)

  • R1. ຂໍ້ຂັດແຍ່ງກ່ຽວກັບການແປພາສາທີ່ເປັນອັນຕະລາຍ ຫຼື ຄຸນນະພາບຕໍ່າ.

    • ຄວາມສ່ຽງ: ນັກແປປະຕິເສດຄວາມຮັບຜິດຊອບຕໍ່ບັນຫາທີ່ຖືກແຊກ.

    • ມາດຕະການບັນເທົາ:

      • ການປ່ຽນແປງທັງໝົດໃນ Weblate ຖືກບັນທຶກໄວ້.

      • ໃຊ້ Weblate ຮ່ວມກັບການຄວບຄຸມເວີຊັນ (version control) ສຳລັບປະຫວັດທີ່ປ່ຽນແປງບໍ່ໄດ້.

4. ການເປີດເຜີຍຂໍ້ມູນ (Information Disclosure)

  • I1. ການຮົ່ວໄຫຼຂອງລາຍລະອຽດຜະລິດຕະພັນທີ່ຍັງບໍ່ທັນເປີດຕົວ.

    • ຄວາມສ່ຽງ: ນັກແປເຂົ້າເຖິງຟີເຈີທີ່ຍັງບໍ່ເປີດຕົວ ຫຼື ຄຳສັບທີ່ເປັນຄວາມລັບໄດ້ໄວເກີນໄປ.

    • ມາດຕະການບັນເທົາ:

      • ແບ່ງໂຄງການເພື່ອຈຳກັດການເຂົ້າເຖິງຂໍ້ຄວາມທີ່ລະອຽດອ່ອນ.

      • ນຳໃຊ້ຂໍ້ຕົກລົງຮັກສາຄວາມລັບກັບອົງການພາຍນອກ.

      • ຊະລໍການແປຂໍ້ຄວາມທີ່ມີຄວາມລັບສູງຈົນກວ່າຈະເປີດຕົວຕໍ່ສາທາລະນະ.

  • I2. ການເປີດເຜີຍຂໍ້ມູນສ່ວນຕົວພາຍໃນຂໍ້ຄວາມ.

    • ຄວາມສ່ຽງ: ນັກແປອາດເຂົ້າເຖິງ ຫຼື ນຳໃຊ້ຂໍ້ມູນຜູ້ໃຊ້ທີ່ຖືກຝັງໄວ້ໃນທາງທີ່ຜິດ.

    • ມາດຕະການບັນເທົາ:

      • ຫຼີກລ່ຽງການເປີດເຜີຍຂໍ້ມູນຜູ້ໃຊ້ຈິງໃນຂໍ້ຄວາມຕົ້ນສະບັບ.

      • ໃຊ້ Placeholder ສຳລັບຊ່ອງຂໍ້ມູນທີ່ລະອຽດອ່ອນ.

5. ການປະຕິເສດການບໍລິການ (Denial of Service)

  • D1. ການສົ່ງການແປພາສາຂີ້ເຫຍື້ອຈຳນວນຫຼວງຫຼາຍ.

    • ຄວາມສ່ຽງ: ຄິວການກວດສອບເກີນກຳນົດ; ຕາຕະລາງການເປີດຕົວຖືກຂັດຈັງຫວະ.

    • ມາດຕະການບັນເທົາ:

6. ການຍົກລະດັບສິດທິພິເສດ (Elevation of Privilege)

  • E1. ນັກແປໄດ້ຮັບສິດທິໃນລະດັບໂຄງການ ຫຼື ສິດທິແອດມິນໂດຍບໍ່ໄດ້ຮັບອະນຸຍາດ.

    • ຄວາມສ່ຽງ: ການຍົກລະດັບສິດນຳໄປສູ່ການແຊກແຊງ ຫຼື ການເປີດເຜີຍຂໍ້ມູນ.

    • ມາດຕະການບັນເທົາ:

      • ນຳໃຊ້ຫຼັກການສິດທິຕໍ່າສຸດ (Principle of least privilege).

      • ທົບທວນສິດການເຂົ້າເຖິງ ແລະ ສະມາຊິກໃນກຸ່ມຢ່າງສະໝໍ່າສະເໝີ.

ລາຍການຊັບສິນ

  • ຂໍ້ຄວາມຕົ້ນສະບັບ: ອາດມີຟີເຈີຜະລິດຕະພັນທີ່ຍັງບໍ່ເປີດຕົວ ຫຼື ຂໍ້ຄວາມທາງກົດໝາຍ.

  • ຂໍ້ຄວາມທີ່ແປແລ້ວ: ຜົນລັພທີ່ສະແດງໂດຍກົງຕໍ່ຜູ້ໃຊ້ປາຍທາງ.

  • Placeholder ຂໍ້ມູນຜູ້ໃຊ້: ຊື່, ອີເມລ, ຫຼື ID ທີ່ຖືກອ້າງອີງໃນຂໍ້ຄວາມ.

  • ຂໍ້ມູນຢືນຢັນຕົວຕົນ (Credentials): ບັນຊີສຳລັບນັກແປ, ອົງການ, ຫຼື ບອທ໌.

ຂອບເຂດຄວາມໄວ້ວາງໃຈ

  • ອົງກອນ ↔ ນັກແປ: ຕ້ອງບັງຄັບໃຊ້ການຢືນຢັນຕົວຕົນ ແລະ ການເຂົ້າເຖິງແບບອິງຕາມບົດບາດ.

  • ແພລັດຟອມການແປພາສາ ↔ ການຄວບຄຸມ Source: ການຊິ້ງຂໍ້ມູນຕ້ອງການ Token/Keys ທີ່ປອດໄພ.

  • ນັກແປ ↔ ແພລັດຟອມການແປພາສາ: Input ທັງໝົດຕ້ອງໄດ້ຮັບການກວດສອບຄວາມປອດໄພກ່ອນທີ່ຈະລວມເຂົ້າໃນ Build.

  • ແພລັດຟອມ ↔ ຜູ້ໃຊ້ປາຍທາງ: ການແປພາສາຕ້ອງໄດ້ຮັບການກວດສອບເພື່ອປ້ອງກັນການແຊກ Code.

ສະຫຼຸບມາດຕະການບັນເທົາ

ບົດສະຫຼຸບ

ນັກແປບຸກຄົນທີສາມນຳມາເຊິ່ງຄວາມສ່ຽງທີ່ເປັນເອກະລັກເມື່ອທຽບກັບຜູ້ປະກອບສ່ວນພາຍໃນ. ດ້ວຍການຄວບຄຸມທາງເທັກນິກ, ອົງກອນ, ແລະ ສັນຍາທີ່ເໝາະສົມ, ອົງກອນສາມາດບັນເທົາຄວາມສ່ຽງເຫຼົ່ານີ້ ແລະ ປະສົມປະສານການບໍລິການແປພາສາພາຍນອກຢ່າງປອດໄພ ໃນຂະນະທີ່ຮັກສາຄວາມຖືກຕ້ອງສົມບູນຂອງຜະລິດຕະພັນ ແລະ ການປະຕິບັດຕາມລະບຽບ.