传输安全性测试

传输安全性需要测试数据通过接口传输时是否具有机密性、完整性、可用性和不可抵赖性。按照场景又可以将测试过程划分为通信方式、数据传输、升级和文件传输几个典型部分。

1.从通信方式来验证传输安全性测试

从下表所示测试点去验证系统在通信方式传输方面的处理是否存在问题。

从通信方式来验证传输性安全性问题，首先要知道产品发送消息的类型，各类消息是通过什么传输协议发送的。比如HTTPS，即HTTP消息要TCP握手时数字签名证书校验，抓包看SSL和TSL的版本号是否满足要求。SFTP即SSH方式传输文件信息，FTP是不安全的。UDP也是不安全的，SNMP V3是可以加密和认证传输的。

2.从参数传输（原文是数据传输）来验证传输安全性测试

从下表所示测试点去验证系统在参数传输安全方面的处理是否存在问题。

从数据传输来验证传输安全性测试，主要是数据参数在传输过程中的加密方式（加密算法）和数据参数的完整性校验。

3. 从升级接口来验证传输安全性测试

从下表所示测试点去验证系统在升级的处理是否存在问题。

从升级接口来验证传输安全性测试，有个问题，为什么没有安装接口验证传输安全性？我想有可能是包含在升级场景中的。

4.从文件传输验证传输安全性测试

从下表所示测试点去验证系统在文件传输方面的处理是否存在问题。

个人理解：前面有数据传输验证传输安全性，文件传输的安全性有什么特殊的呢？原文中的数据传输，已改为参数传输更合理些。从传输内容上分为参数和文件两大类。文件类型检查方法包括MIME Type、二进制字节流和文件名后缀。传输文件的白名单，特殊文件需要签名验证。

---

个人理解，这四类传输安全性的优先级是通信方式、参数传输和数据传输、升级接口。个人理解升级接口不一定每个产品都有这样的传输安全性问题，对于大多数手机终端APP这种推送软件升级的才有，理论上也应该包含在文件传输和参数传输中。

摘取自刘琛梅老师的《测试架构师修炼之道：从测试工程师到测试架构师 第2版》