ST-SEC-009 - Utilisation inappropriée de SecureString

ID de règle : ST-SEC-009

Étendue : workflow

Description

Cette règle vérifie si le type SecureString a été utilisé de façon inappropriée dans le workflow. Ce type de chaîne est utilisé pour éviter de stocker des chaînes potentiellement sensibles sous forme de texte brut. Si certaines activités acceptent des informations sensibles en entrée mais ne prennent pas en charge le type SecureString, vous pouvez les exclure de cette règle.

Recommandation

Le type SecureString ne doit pas être utilisé à d’autres fins que celle prévue. Par conséquent, le fait de tenter de convertir SecureString en String peut être considéré comme un risque pour la sécurité.

Selon la documentation officielle de Microsoft, si un objet String contient des informations sensibles, cela augmente le risque que les données soient révélées après son utilisation.

En outre, l'étendue des variables de type SecureString devrait être très limitée, idéalement dans la même étendue que celle déterminée à leur création.

Modification de la règle

Dans la fenêtre Project Settings , sélectionnez l'onglet Workflow Analyzer . Recherchez et sélectionnez la règle.

Vous pouvez exclure les activités qui ne prennent pas en charge le type SecureString en ajoutant leurs espaces de noms séparés par une virgule dans le champ Activités exclues (Excluded Activities).

Rétablir les paramètres par défaut

Pour réinitialiser la valeur par défaut, cliquez avec le bouton droit sur la règle dans la fenêtre Paramètres du projet (Project Settings), puis cliquez sur Rétablir les paramètres par défaut (Reset to default).