本篇來分享一下，有關於Missing Encryption of Sensitive Data”的問題，簡單說指的是在儲存或傳輸敏感資料時，沒有適當地使用加密技術，使得該資料可能被未經授權的第三方所訪問或竊取。
說明：
當敏感資料未進行加密或使用不當的加密方式，該資料將容易受到外部威脅。加密是資料保護的關鍵手段，它可以確保資料在儲存或傳輸時的機密性、完整性及可用性。不適當地加密敏感資料，無論是存儲在本地還是傳輸於網路中，都可能使其暴露於不法分子，從而面臨資料竊取或更改的風險。例如，當我們在網上進行購物或登錄銀行帳戶時，我們的個人和財務資料可能會被傳輸。如果這些資料未被加密，它可能會被竊聽或修改，導致經濟損失或身份盜竊。因此，為了確保資料的安全性，正確和適當的加密方法至關重要。使用強大的加密算法和適當的密鑰管理可以大大減少資料被非法訪問或濫用的風險。
情境：
假設一家線上銀行的移動應用程序允許用戶查看他們的帳戶餘額和進行轉賬。當用戶登錄時，他們的用戶名和密碼被送到銀行的伺服器以進行身份驗證。然而，開發人員在傳輸這些認證時忽略了加密。攻擊者可以使用中間人攻擊（Man-in-the-Middle Attack）來攔截未加密的認證資訊，從而獲得對用戶帳戶的訪問。
同樣的，如果該銀行應用保存了用戶的登錄資訊（例如，用戶名和密碼）在本地設備上，但未進行加密，那麼如果手機丟失或被竊，任何能夠訪問該設備的人都可能輕易讀取那些敏感資料。
修補方法：
當然可以，針對”Missing Encryption of Sensitive Data”這個問題，以下是一些建議的修補辦法：
使用強加密算法：如AES（高級加密標準）或RSA等公認的加密算法。避免使用已被證實為不安全或已被破解的加密算法。
完整的加密生命週期管理：確保加密密鑰的生成、存儲、轉換、使用和銷毀都在安全控制之下。
使用SSL/TLS：當數據在網絡間傳輸時，使用SSL（安全套接層）或TLS（傳輸層安全）來加密數據。
資料庫層面的加密：對於存儲在資料庫中的敏感資料，應使用資料庫的透明數據加密（TDE）或相似技術。
使用端到端加密：這確保了從發送方到接收方的整個通信過程中的數據加密。
定期更換密鑰：即使你的加密技術是最新的，也應定期更換密鑰，以防止長時間的暴力破解嘗試。
最少權限原則：只有需要訪問敏感資料的授權用戶或程序應該有權限進行。這可以減少潛在的資料洩露風險。
安全的密碼管理：使用像PBKDF2, bcrypt或argon2這樣的算法進行密碼的雜湊，確保即使資料被洩露，密碼也不易被破解。
加密資料完整性：使用雜湊和簽名來確保資料在傳輸和存儲時的完整性和真實性。
持續的安全培訓：確保開發人員和IT團隊都了解加密的重要性，並定期參加有關的培訓，以保持對最新安全威脅和修補策略的認識。
參考資源：
OWASP Top Ten:
- OWASP Top Ten Project 在這裡，你可以找到OWASP列出的十大安全風險，其中可能會涉及到敏感數據的加密問題。
OWASP Mobile Top Ten:
- OWASP Mobile Security Project – Top Ten Risks 此連結針對移動應用程序的十大安全風險。
NIST加密指南:
- NIST Special Publication 800-57 這是關於密鑰管理的詳細指南，包含了建議的加密實踐和策略。
HTTPS and TLS:
- Let’s Encrypt 免費的證書發行機構，幫助網站實施HTTPS。
中間人攻擊(MITM)概述:
- Man-in-the-Middle Attack (MITM) Cloudflare上的詳細解釋，描述了MITM攻擊是如何工作的及如何防止。