피어를 신뢰하지 마세요.

"피어를 신뢰하지 마세요"는 기본 보안 규칙이지만 종종 간과됩니다. 통신의 상대방이 제대로 동작하고 피어가 예상한 데이터를 전달하지 않는다고 가정하지 마세요. MIDL 및 RPC는 사용자를 대신하여 일부 검사를 수행하지만 일부 검사는 수행하지 않습니다.

MIDL 또는 RPC에서 확인되는 매개 변수의 측면과 직접 확인해야 하는 측면을 파악합니다. 예를 들어 인/아웃 컨텍스트 핸들의 경우 RPC는 컨텍스트 핸들이 잘못된 null이 아닌 값이 아닌지 확인합니다. Null 값과 유효한 값을 허용하지만 많은 개발자는 null 값이 허용된다는 것을 인식하지 못하고 있습니다. 이것은 검사 것입니다.

일반적으로 피어를 신뢰하더라도 손상된 컴퓨터 또는 보안 주체 계정이 다른 컴퓨터를 공격할 수 있는 새 경로를 도입하지 마세요. 사용자가 자신의 생일을 자신의 암호로 선택하고 공격자가 추측한다고 가정해 보겠습니다. 사용자의 요청이 인증되고 데이터에 대한 액세스가 허용된 후에도 공격자가 서버를 제어하고 보안 위반을 확장할 수 있는 스택 오버런과 같은 악용 가능한 취약성이 존재하지 않는지 확인합니다.