Эти три термина описывают, сколько тестировщик знает о цели до начала работ, а значит, насколько глубоко он реально может зайти за отведённое время. Это точки на шкале осведомлённости, а не оценка качества.
При тестировании black-box специалист начинает почти или совсем без внутренних знаний, часто имея лишь домен или диапазон IP-адресов, и действует как внешний злоумышленник. Для моделирования случайного внешнего нападающего это реалистично. Но фиксированный срок уходит на разведку, на которую настоящий злоумышленник мог бы потратить месяцы, поэтому реальные, но более глубокие ошибки можно пропустить просто из-за нехватки времени.
При grey-box тестировщик получает частичные знания: обычно действующие учётные записи для разных ролей и спецификацию API, например OpenAPI/Swagger. Для большинства работ с приложениями и API это разумный выбор по умолчанию, потому что бюджет уходит на поиск реальных ошибок, а не на разведку. Ошибки авторизации вроде BOLA/IDOR можно найти только с несколькими учётными записями: с одним токеном или вовсе без него их не проверить.
Тестирование white-box (или crystal-box) даёт полную информацию: исходный код, архитектуру, конфигурацию и доступ к людям, которые работают с системой. Оно обеспечивает самое глубокое покрытие и подходит, когда нужна высокая уверенность или проверка на соответствие старшим уровням стандарта. OWASP ASVS 5.0 отмечает, что для его более строгих уровней может понадобиться именно такой доступ к документации, исходному коду и конфигурации.
Выбирайте по нужному уровню уверенности, а не по тому, что звучит серьёзнее. Black-box подходит для реалистичной имитации внешнего злоумышленника, grey-box служит эффективным выбором по умолчанию для оценки веб-приложений и API, а white-box нужен для проверок с высокой уверенностью и на соответствие стандартам. Об одной устаревшей идее: в ASVS 5.0 уровень 1 переосмыслен, поэтому старое правило «ASVS L1 равен black-box-пентесту» больше не действует. Уровень проверки теперь выбирают исходя из рисков.
Они описывают, сколько тестировщик знает о цели до начала работы, а не ранжируют качество. Black-box начинается почти без внутренних знаний; grey-box даёт частичные знания, например рабочие учётные записи и спецификацию; white-box даёт полный доступ к исходному коду, архитектуре и конфигурации.
Grey-box служит разумным выбором по умолчанию для большинства работ с приложениями и API, потому что бюджет уходит на поиск реальных уязвимостей, а не на разведку. Особенно это важно для уязвимостей авторизации вроде BOLA/IDOR, которые можно найти только с несколькими учётными записями разных ролей: одного токена или его отсутствия для этого недостаточно.
Нет. В OWASP ASVS 5.0 уровень 1 переосмыслен, поэтому старое правило «ASVS L1 равен black-box-пентесту» больше не действует: уровень верификации теперь выбирается по риску, а более высокие и строгие уровни ASVS могут требовать доступа к исходному коду и конфигурации, как при white-box.