ST-SEC-009: uso incorrecto de SecureString

ID de la regla:ST-SEC-009

Ámbito: flujo de trabajo

Descripción

Esta regla comprueba si el tipo de CadenaSegura se está utilizando mal en el flujo de trabajo. Este tipo de cadena se utiliza cuando se evita almacenar cadenas potencialmente sensibles como texto sin formato. Si determinadas actividades aceptan información confidencial como entrada pero no admiten el tipo SecureString, puedes excluirlas de esta regla.

Recomendable

El tipo CadenaSegura no debe usarse para ningún otro propósito que no sea el previsto. Por lo tanto, intentar lanzar CadenaSegura a la Cadena puede verse como un riesgo para la seguridad.

De acuerdo con la documentación oficial de Microsoft, si un objeto en la Cadena contiene información sensible, entonces aumenta el riesgo de que los datos sean revelados tras su uso.

Además, el alcance de las variables de tipo CadenaSegura debería ser muy limitado, idealmente dentro del mismo ámbito en el que se crearon.

Modificar la regla

En la ventana Configuración del proyecto, selecciona la pestaña Analizador de flujo de trabajo. Busca y selecciona la regla.

Puedes excluir actividades que no admitan el tipo SecureString añadiendo sus espacios de nombres separados por una coma en el campo Actividades excluidas.

Restablecer al valor predeterminado

Para restablecer el valor predeterminado, haz clic con el botón secundario en la regla de la ventana Configuración del proyecto y luego haz clic en Restablecer valores predeterminados.