Брудний список - Білий список

У тестуванні програмного забезпечення терміни ” брудний список ” і “білий список ” використовуються для опису двох протилежних підходів до управління вхідними даними, діями користувача або елементами системи під час тестування. Зазвичай вони використовуються в контексті контролю доступу, валідації вхідних даних та розробки тестових кейсів.

Брудний список

Брудний список (іноді його називають “чорним списком”) - це набір заборонених, недійсних або зловмисних вхідних даних, дій або елементів, які система повинна однозначно відкинути. Мета “Брудного списку” - перевірити здатність системи виявляти та ефективно обробляти потенційно шкідливі або неприйнятні вхідні дані.

• Мета: Забезпечити стійкість системи до відомих загроз або сценаріїв зловживань.
• Приклади:
  • Список заборонених розширень файлів (наприклад, .exe, .bat) для запобігання несанкціонованому завантаженню.
  • Заборонені ключові слова SQL (наприклад, DROP, DELETE) для тестування уразливостей SQL-ін’єкцій.
  • Набір неприпустимих форматів електронної пошти для перевірки валідності вхідних даних системою.
• Тестування Фокусу:
  • Тестування безпеки: Запобігання таким атакам, як SQL-ін’єкції, XSS (міжсайтовий скриптинг) та обхід каталогів.
  • Негативне тестування: Забезпечення м’якої відмови системи при зіткненні з недопустимими вхідними даними.

Білий список

Білий список - це заздалегідь визначений набір дозволених, дійсних або прийнятних вхідних даних, дій або елементів, які система повинна однозначно прийняти. Білий список забезпечує сувору валідацію, відкидаючи все, що явно не дозволено.

• Мета: Визначити безпечну межу для прийнятної взаємодії системи та мінімізувати ризик ненавмисної поведінки.
• Приклади:
  • Дозволені розширення файлів для завантаження (наприклад, .jpg, .png, .pdf).
  • Затверджені домени для адрес електронної пошти (наприклад, @example.com).
  • Дозволені символи для полів введення (наприклад, тільки алфавітно-цифрові).
• Тестування Фокусу:
  • Функціональне тестування: Перевірка того, що дійсні вхідні дані правильно приймаються та обробляються.
  • Тестування безпеки: Запобігання атакам, дозволяючи лише заздалегідь визначені безпечні входи.
  • Тестування на відповідність: Забезпечення відповідності системи нормативним або бізнес-стандартам.

На практиці тестування програмного забезпечення часто поєднує обидві стратегії для всебічного охоплення. Наприклад, система може використовувати білий список для визначення допустимих завантажень файлів і одночасно використовувати чорний список для блокування відомих шкідливих шаблонів. Інструменти автоматизованого тестування, такі як Selenium або Cypress, можуть імітувати сценарії, що включають обидва списки, перевіряючи реакцію системи на дозволені та заборонені вхідні дані.