ST-SEC-008 - Utilisation de la variable SecureString (SecureString Variable Usage)

ID de règle : ST-SEC-008

Étendue : workflow

Description

Cette règle vérifie l’utilisation variable du type SecureString dans le workflow.

Recommandation

Une fois qu'une SecureString a été récupérée, il est recommandé de se connecter aux applications avec les activités Saisir un texte sécurisé (Type Secure Text) qui envoie une SecureString à un élément d'IU, et l'activité Envoyer les touches en toute sécurité (Send Keys Secure) pour les terminaux.

Il est important que les informations d’identification ne soient pas utilisées à d’autres fins que celle prévue. Les variables qui détiennent de telles chaînes sécurisées doivent être définies à l'étendue la plus réduite possible.

Dans l’idéal, les arguments ne doivent pas être utilisés pour transmettre les informations d’identification d’un workflow à un autre. En savoir plus sur la classe SecureString dans la documentation officielle de Microsoft.

Modification de la règle

Dans la fenêtre Paramètres du projet (Project Settings), sélectionnez l'onglet Analyseur de workflow (Workflow Analyzer). Recherchez et sélectionnez la règle, comme sur l'image ci-dessous :

Par défaut, cette règle vérifie l’utilisation à profondeur variable de 1. La limite maximale est de 3. Cela signifie que la règle vérifie si les variables de type SecureString sont définies dans une activité trouvée à l’intérieur d’une couche de deux activités de conteneur. Par exemple, une variable de type SecureString à l’intérieur d’une activité de texte sécurisée de type définie dans un conteneur Do, et faisant intégralement partie d’une séquence.

Pour modifier la profondeur, il suffit de taper un autre nombre inférieur ou égal à 3 dans ce champ.

Rétablir les paramètres par défaut

Par défaut, la règle vérifie pour une utilisation à profondeur variable. Pour revenir à la valeur par défaut après que des modifications ont été apportées, faites simplement un clic droit sur la règle et sélectionnez Réinitialisation par défaut.

L’action par défaut est également réinitialisée à sa valeur par défaut Erreur (Error).