Белый ящик (white box)
Простыми словами
Тестировщик видит реализацию и может строить проверки по конкретным ветвям кода и доверительным границам, а не только по внешнему поведению.
Как применяется
White box используют для глубокой оценки критичных компонентов, code-assisted pentest, проверки криптографии и сложной авторизации; объём доступа заранее фиксируют в правилах работ.
Пример применения
Получив схему ролей и код обработчика платежа, тестировщик находит путь, при котором проверка владельца заказа выполняется после изменения состояния.
Не путать с
- СравнениеBlack box имитирует внешнего атакующего без внутренних сведений; gray box предоставляет ограниченный контекст. Различается исходный уровень знания, а не обязательная глубина результата.
Как это работает
- Передача контекстаЗаказчик предоставляет согласованный код, схемы, сборку и тестовые учётные записи.
- АнализСпециалист выделяет доверительные границы, опасные функции и критические потоки данных.
- ПроверкаГипотезы подтверждают безопасными тестами в согласованной среде.
- Отчёт и ретестПричину связывают с кодом или архитектурой, затем проверяют исправление.
Продолжить изучение
Частые вопросы
Он даёт больше данных, но требует квалификации для анализа реализации и часто охватывает больший объём.
Нужен ли запуск эксплуатации?Только в согласованных пределах; часть выводов может подтверждаться анализом кода и контролируемым тестом.
Как защищать переданный код?Ограничить доступ, среду и срок хранения, использовать защищённый обмен и договорные требования.