我需要開發一個可長期離線運行的Web應用程序。為了使它可行，我無法避免將敏感數據（個人數據，而不是您將僅存儲散列數據的類型）保存在本地存儲中。我接受不推薦這樣做，但是我幾乎沒有選擇要執行以下操作來保護數據：使用斯坦福javascript密碼庫和AES-256將所有內容都加密到本地存儲中用戶密碼是加密密鑰，未存儲在設備上通過ssl從單個受信任的服務器提供所有內容（在線時）使用owasp antisamy項目驗證往返服務器本地存儲的所有數據在appcache的網絡部分中，不使用*，而是僅列出與受信任服務器連接所需的URI通常，嘗試應用OWASP XSS備忘單中建議的指南我很欣賞魔鬼在細節上的細節，并且知道人們對本地存儲和基于JavaScript的安全性普遍持懷疑態度。任何人都可以評論是否存在：上述方法的根本缺陷？有什么辦法可以解決此類缺陷？html 5應用程序必須長時間離線運行時，還有什么更好的方法來保護本地存儲？謝謝你的幫助。
3 回答
皈依舞
TA貢獻1851條經驗 獲得超3個贊
作為對該主題的探索，我有一個名為“使用Web密碼學API保護TodoMVC”的演示文稿（視頻，代碼）。
它使用Web加密API通過密碼保護應用程序并使用密碼派生密鑰進行加密，從而將加密的待辦事項列表存儲在localStorage中。如果忘記或丟失密碼，將無法恢復。（免責聲明-這是一個POC，不用于生產用途。）
在其他答案中，這仍然容易受到客戶端計算機上安裝的XSS或惡意軟件的影響。但是，當數據存儲在服務器上并且正在使用該應用程序時，任何敏感數據也將位于內存中。我建議脫機支持可能是引人注目的用例。
最后，對localStorage進行加密可能只會保護數據，使其免受對系統或其備份具有只讀訪問權限的攻擊者的攻擊。它為OWASP十大A6敏感數據公開項目增加了少量的縱深防御，并允許您回答“這些數據是否長期以明文形式存儲？” 正確地。
添加回答
舉報
0/150
提交
取消