Diese drei Begriffe beschreiben, wie viel der Tester vor Beginn über das Ziel weiß und damit, wie tief er in der verfügbaren Zeit realistisch vordringen kann. Sie sind Punkte auf einer Skala des Wissens, keine Rangfolge der Qualität.
Bei einem Black-Box-Test beginnt der Tester mit wenig oder gar keinem Innenwissen, oft nur mit einer Domain oder einem IP-Bereich, und arbeitet wie ein externer Angreifer. Das ist realistisch, um einen opportunistischen Außentäter nachzubilden. Allerdings geht das feste Zeitfenster für Discovery drauf, für die ein echter Angreifer Monate aufwenden könnte. Echte, aber tiefer liegende Fehler können so schlicht aus Zeitmangel unentdeckt bleiben.
Grey-Box gibt dem Tester Teilwissen, typischerweise gültige Konten für mehrere Rollen und eine API-Spezifikation wie OpenAPI/Swagger. Für die meisten Anwendungs- und API-Tests ist das der pragmatische Standard, weil das Budget in das Finden echter Fehler fließt statt in Aufklärung. Autorisierungsfehler wie BOLA/IDOR lassen sich nur mit mehreren Konten finden; mit einem einzelnen Token oder ganz ohne lassen sie sich gar nicht auslösen.
White-Box-Tests (auch Crystal-Box) liefern volle Information: Quellcode, Architektur, Konfiguration und Zugang zu den beteiligten Personen. Sie ermöglichen die tiefste Abdeckung und sind die richtige Wahl, wenn Sie hohe Assurance brauchen oder gegen die höheren Level eines Standards verifizieren. OWASP ASVS 5.0 weist darauf hin, dass seine strengeren Level genau diesen Zugang zu Dokumentation, Quellcode und Konfiguration erfordern können.
Wählen Sie nach dem Assurance-Ziel, nicht danach, was am härtesten klingt. Black-Box eignet sich für die realistische Simulation eines externen Angreifers, Grey-Box ist der effiziente Standard für Web- und API-Assessments, White-Box ist für Prüfungen mit hoher Assurance und die Verifizierung gegen Standards gedacht. Eine überholte Vorstellung sollten Sie kennen: ASVS 5.0 hat Level 1 neu gefasst, deshalb gilt die alte Faustregel „ASVS L1 entspricht einem Black-Box-Pentest“ nicht mehr. Das Verifizierungslevel ist heute eine Risikoentscheidung.
Sie beschreiben, wie viel der Tester vor Beginn über das Ziel weiß, und sind keine Rangfolge der Qualität. Black-Box startet mit wenig oder keinem Innenwissen, Grey-Box liefert Teilwissen wie gültige Konten und eine Spezifikation, White-Box liefert vollständigen Quellcode, Architektur und Konfiguration.
Grey-Box ist für die meisten Anwendungs- und API-Tests der pragmatische Standard, weil das Budget in das Finden echter Schwachstellen fließt statt in Aufklärung. Besonders wichtig ist das bei Autorisierungsfehlern wie BOLA/IDOR, die sich nur mit mehreren Konten über verschiedene Rollen hinweg finden lassen. Ein einzelnes Token oder gar keines reicht dafür nicht.
Nein. OWASP ASVS 5.0 hat Level 1 neu gefasst, daher gilt die alte Faustregel „ASVS L1 entspricht einem Black-Box-Pentest“ nicht mehr. Die Verifizierungsstufe ist jetzt eine Risikoentscheidung, und die höheren, strengeren ASVS-Stufen können Zugriff auf Quellcode und Konfiguration wie bei White-Box erfordern.