33. EPMO Open Source Coordination Office Redaction File Detail Report

Produced by Araxis Merge on 3/20/2018 11:06:01 AM Eastern Daylight Time. See www.araxis.com for information about Merge. This report uses XHTML and CSS2, and is best viewed with a modern standards-compliant browser. For optimum results when printing this report, use landscape orientation and enable printing of background images and colours in your browser.

33.1 Files compared

# Location File Last Modified
1 Tue Mar 20 15:06:00 2018 UTC
2 movecoachdroid_P3.zip\movecoachdroid-master@0165aca4805.zip\SwA VA Secure Code Review Validation Request Form - MCM Android.docx Fri Mar 16 13:16:54 2018 UTC

33.2 Comparison summary

Description Between
Files 1 and 2
Text Blocks Lines
Unchanged 0 0
Changed 0 0
Inserted 1 427
Removed 0 0

33.3 Comparison options

Whitespace
Character case Differences in character case are significant
Line endings Differences in line endings (CR and LF characters) are ignored
CR/LF characters Not shown in the comparison detail

33.4 Active regular expressions

No regular expressions were active.

33.5 Comparison detail

        1   V&V Secure  Code Revi ew Validat ion Reques t Form
        2   (VA Office  of Inform ation Secu rity (OIS)  Secure Co de Review  Standard O perating P rocedures  (SOP) effe ctive 11 J anuary 201 8)
        3  
        4   This form  must be us ed for ALL  VA applic ations for  Verificat ion and Va lidation ( V&V) secur e code rev iew valida tion reque sts. You M UST comple te ALL que stions tha t are stat ed to be m andatory r equest inf ormation u nless othe rwise iden tified on  this form.
        5  
        6   For all ap plications , you must :
        7   complete t his form ( V&V Secure  Code Revi ew Validat ion Reques t Form)
        8   provide al l prerequi sites iden tified for  the desir ed type of  review ac cording to  the Secur e Code Rev iew SOP
        9   submit thi s form by  following  the proced ures on th e VA Softw are Assura nce Suppor t Site htt ps://DNS.U RL/display /OISSWA/Fr equently+A sked+Quest ions
        10  
        11   For more i nformation  about sec ure code r eviews per formed at  the VA, se e the VA S ecure Code  Review SO P which ca n be downl oaded from  the follo wing
        12   location:  https://DN S.URL/disp lay/OISSWA /Public+Do cument+Lib rary
        13  
        14   Notes for  completing  this form
        15  
        16   Section 2. 3.1 of the  OIS Secur e Code Rev iew SOP de fines V&V  validation  request p rerequisit es.
        17  
        18   Additional  instructi ons for ap plication  request de tails
        19   Desired st art and co mpletion d ates are f or VA Soft ware Assur ance Progr am Office  planning p urposes on ly. They d o not guar antee a re quest will  begin or  complete b y the desi red date.
        20  
        21   Additional  instructi ons for qu estion 1 “ What type  of review  is being r equested”?
        22   To request  a locatio n to uploa d scan fil e(s) and s ource code  follow th e procedur es for reg istering a pplication s on:  htt ps://DNS.U RL/display /OISSWA/Fr equently+A sked+Quest ions
        23   To provide  McCabe co mplexity v alues for  table B, S ourceMonit or (http:/ /www.campw oodsw.com/ ) can be u sed to qui ckly analy ze the lin es of code  and the M cCabe Cycl ometric co mplexity v alues for  your sourc e code. So urceMonito r measures  metrics f or source  code writt en in C++,  C, C#, VB .NET, Java , Delphi,  Visual Bas ic (VB6) a nd HTML
        24   For a .NET  applicati on or any  applicatio n built us ing Visual  Studio, t he followi ng is requ ired: the  source cod e for the  applicatio n (.cs fil es), as we ll as all  libraries,  framework s, dll’s,  xml config uration fi les, build  files and  any other  3rd party  dependenc ies
        25   Provide a  zip file c ontaining  each Visua l Studio s olution’s  top level  directory  and all su bdirectori es. For an  ASP.NET a pplication , with C#  source fil es, this i ncludes al l .sln, .s uo, .cspro j, .cs, .a spx, .ascx , .asax, . asp,
        26   .config, . xml, .resx , .setting s, .dll, . exe, .pdb,  .txt, .ca che, etc.  files incl uded in th e Visual S tudio solu tion and g enerated b y Visual S tudio.
        27   Any librar ies (exter nal .dll f iles) refe renced by  the soluti on, which  are not in cluded in  the Visual  Studio so lution dir ectory hie rarchy mus t also be  included
        28   For a Java  applicati on, the fo llowing is  required:  the sourc e code for  the appli cation (.j ava files) , the buil d script u sed to bui ld the cla ss, jar, a nd any exe cutable fi les produc ed. This i ncludes al l of the A nt (build. xml) or Ma ven (pom.x ml) build  scripts fo r the Ant  or Maven p rojects, a s well as  all librar ies, frame works, .ja r files, x ml configu ration fil es, proper ties files , and any  other 3rd  party depe ndencies.
        29   Provide a  zip file c ontaining  everything  in the pr oject’s Ec lipse dire ctory and  workspace  directory  structures  (or direc tory struc ture for t he IDE use d to devel op and bui ld the app lication).
        30   For Eclips e, provide  the .meta data direc tory, or s pecific in structions  for loadi ng the wor kspace and  projects  into Eclip se, so tha t all proj ects can b e compiled  and built  successfu lly
        31  
        32  
        33  
        34   Mandatory  request in formation
        35  
        36  
        37   Applicatio n develope r informat ion
        38  
        39  
        40   Name
        41   MOVE! Coac h Mobile ( MCM) Andro id
        42   Version
        43   1.0.46-47
        44   Applicatio n informat ion
        45  
        46  
        47  
        48   Organizati on/Governm ent primar y POC
        49   Name
        50   Judy Merca do
        51  
        52   Phone
        53   PII
        54  
        55   Email
        56  
        57  
        58   Applicatio n technica l POC (Dev eloper Con tact)
        59   Name
        60   Steven Bru sh
        61  
        62   Phone
        63   530-727-87 40
        64  
        65   Email
        66  
        67  
        68  
        69  
        70  
        71   Check all  that apply :
        72   ASP.NET
        73   Classic AS P C
        74   C++ C#
        75   COBOL
        76   ColdFusion
        77   Java
        78   JavaScript  / AJAX
        79   JSP MUMPS
        80   Objective- C PHP
        81   PLSQL
        82   HTML
        83   TSQL VB.NE T VB6
        84   VBScript X ML
        85   OtherPrima ry program ming langu age(s) use d in devel opment
        86  
        87  
        88  
        89  
        90  
        91  
        92  
        93  
        94  
        95  
        96   Fortify bu ild tool(s ) used
        97   (For more  informatio n regardin g build to ols, pleas e refer to  the follo wing Techn ical
        98   Note: http :/DNS.URL/ ai8p ; ple ase make s ure that t he correct  tool was  used befor e requesti ng a secur e code rev iew valida tion)
        99  
        100  
        101  
        102  
        103  
        104  
        105  
        106  
        107  
        108  
        109  
        110  
        111  
        112   Were scrip ts used wi th any of  the above-  selected  Fortify bu ild tools?
        113   Command-li ne tools S can Wizard
        114   IDE Plugin s
        115   Build Envi ronment In tegration  Audit Work bench
        116   Please ent er the com mand used  or the opt ions passe d to Forti fy for
        117  
        118   "-b"the tr anslation  phase:
        119   "movecoach droid" "-m achine-out put" "-bui ld-label"  "app"
        120   "-cp"
        121   "/DNS ho/1 .3.1/2c407 6b466a0eb4 d6ddf5721e dd35cd1adc 1f317/stet ho-1.3.1.j ar:/AI/.gr adle/cache s/transfor ms-1/files -1.1/trans ition-27.0 .2.aar/d27 89f8877fe1 3731
        122  
        123  
        124  
        125   3/15/2018D esired sta rt date fo r review
        126  
        127  
        128   3/19/2018D esired com pletion da te for rev iew
        129  
        130  
        131   1.V&V secu re code re view valid ation requ est checkl ist
        132  
        133   The comple te and bui ldable app lication s ource code  (to use w hen review ing scan r esult file ) has been  uploaded.
        134   The source  code uplo aded match es the sou rce code s canned wit h Fortify.  The versi on of all  source cod e files up loaded is  the same a s the code  scanned w ith Fortif y and all  files prov ided have  been scann ed with Fo rtify.
        135   Scan resul t file(s)  (Fortify S CA “.fpr”  file(s)) h ave been u ploaded.
        136   All findin gs reporte d by Forti fy have be en analyse d in the F PR file(s) . All crit ical and h igh findin gs must be  fixed. If  a finding  is a fals e positive , it has b een analys ed as “Not  an Issue, ” with com ments adde d to the F PR stating  the reaso n it is co nsidered a  false pos itive.
        137   All errors /exception s/warnings  reported  by Fortify  during th e scan(s)  have been  fixed or a ddressed.  Any errors /exception s/warnings  reported  by Fortify  can be se en in Audi t Workbenc h. Go to t he “Projec t Summary, ” “Analysi s Informat ion” tab,  “Warnings”  sub-tab.
        138   The most r ecent vers ion of For tify and t he complet e, most re cent set o f the Fort ify rulepa cks were u sed when s canning th e code.
        139  
        140   N/ACustom  rule file( s) (Fortif y SCA “.xm l” rulepac k file(s))  (if any)  have been  uploaded.  Provide a  brief desc ription of  the secur ity librar ies and fr ameworks t hat have b een used.
        141  
        142  
        143  
        144   Source lin es of code  (SLOC): 2 1,418
        145   Number of  source cod e and conf iguration  files: 654
        146   Number of  classes, i f applicab le: 253
        147  
        148  
        149  
        150  
        151   2.What are  the known  complianc e obligati ons for th e applicat ion? (Non- mandatory  request in formation)
        152  
        153   FISMA (Fed eral Infor mation Sec urity Mana gement Act ) GLBA (Gr amm-Leach- Bliley Act )
        154   HIPAA (Hea lth Insura nce Portab ility and  Accountabi lity Act)  PCI (Payme nt Card In dustry Dat a Security  Standard)
        155   SOX (Sarba nes-Oxley  Act)
        156   None (Ther e are no k nown legal  complianc e obligati ons) Other   
        157  
        158  
        159   3.Addition al applica tion infor mation (No n-mandator y request  informatio n)
        160  
        161  
        162   Yes. NSD-I D R1882482 9FY18 comp leted on 2 /20/2018.H as a sourc e code ana lysis/scan  been perf ormed agai nst the ap plication  previously ? If so, p lease prov ide any de tails avai lable abou t the scan .
        163  
        164  
        165   Gradle (an droid stud io)What bu ild tools  are used?  E.g. Ant o r Maven fo r Java; Ve rsion of M icrosoft V isual Stud io for
        166   .NET
        167  
        168  
        169   New; Expec t only one  review re quired.Is  this a new  or legacy  applicati on? If it  is new, wi ll multipl e code rev iews be re quired dur ing the so ftware dev elopment l ifecycle,  or prior t o multiple  releases  of the app lication?
        170  
        171  
        172   Agile Scru mWhat is t he develop ment strat egy used f or the app lication?
        173  
        174  
        175   N/AAre sec urity requ irements d efined and  available  for the a pplication ?
        176  
        177  
        178   N/AAre mis use and ab use cases  defined an d availabl e for the  applicatio n?
        179  
        180  
        181  
        182  
        183   Yes: https DNS.URL/do wnload/att achments/6 9735356/MC Mv2Android %20SDD%20A ddendum.do cx?api=v2I s software  architect ure and/or  design do cumentatio n availabl e?
        184  
        185  
        186   N/AIs a th reat model  available  for the a pplication ? If no, d oes a thre at assessm ent need t o be perfo rmed?
        187  
        188  
        189   Possibly.C an all lib raries, fr ameworks,  dll’s, xml  configura tion files , make, An t or Maven  build fil es and any  other 3rd  party dep endencies  be provide d with the  source co de?
        190  
        191  
        192   Yes. Atlas sian Stash  (Git). ht tps:// DNS .URL/proje cts/MCM/re pos/moveco achdroid/b rowseIs a  version co ntrol syst em used to  manage th e applicat ion source  code? If  yes, what  VCS softwa re tool is  being use d?
        193  
        194  
        195   No.Does an  Architect ural Risk  Assessment , which id entifies a rchitectur al flaws w ith securi ty implica tions, nee d to be pe rformed?
        196  
        197  
        198  
        199  
        200   Self-guide d weight m anagement  & informat ion app. U ser enters  daily foo d/activity . Data are  stored in  SQLite da tabase loc al to the  device.Pro vide a bri ef summary  of the ap plication?  What are  some typic al user tr ansactions ?
        201  
        202  
        203   MVC OO Obs erverDescr ibe the ar chitecture  of the ap plication.
        204  
        205  
        206   N/ADescrib e the inte rfaces use d to acces s the appl ication.
        207  
        208  
        209   N/AIf appl ication is  divided i nto module s or sub-  applicatio ns, provid e short de scription  of each an d pertinen t informat ion about  each (Appr ox size, u ser roles  supported,  languages  used, add itional au thenticati on require d, etc.)
        210  
        211  
        212  
        213   No PII/PHI  is captur ed by app  and it doe s not inte rface--pus h/pull dat a--from an y VA syste ms or data bases.What  is the le vel of con fidentiali ty of the  data handl ed by the  applicatio n?
        214  
        215  
        216   N/AHow imp ortant is  integrity  for the da ta handled
        217  
        218   by the app lication?
        219  
        220  
        221   N/AHow imp ortant is  availabili ty for the  applicati on?
        222  
        223  
        224   Low RiskWh at is the  relative r isk of the  applicati on to the  organizati on?
        225  
        226  
        227   What is th e most imp ortant / s ensitive i nformation  stored in  the appli cation?
        228   Public Dat a - Is int ended for  external r elease or  for use by  non- empl oyees. Thi s data typ e can be d isclosed t o anyone w ithout exc eption or  consequenc e.
        229   Internal D ata - Is w idely avai lable to e mployees d uring the  normal cou rse of bus iness, but  is kept w ithin an o rganizatio n’s contro l and may  not be oth erwise dis closed wit hout autho rization.
        230   Confidenti al Data -  Informatio n that, if  compromis ed, may ha ve an adve rse materi al impact  on the org anization,  its custo mers, busi ness partn ers, vendo rs, or emp loyees. In formation  with this  classifica tions is v ery sensit ive and is  to be dis seminated  only to gr oups or in dividuals  with a leg itimate bu siness “ne ed to know .”
        231   Restricted  Data - Is  statutori ly protect ed and con sidered Co nfidential . Restrict ed data ma y substant ially harm  the organ ization’s  reputation  or cause  severe fin ancial, le gal, or re gulatory d amage to t he organiz ation, its  customers , business  partners,  vendors,  or employe es if it i s disclose d to anyon e other th an those i ndividuals  who are a uthorized  to access  or see it.
        232   Unknown Da ta - Inter acts with  data of an  unknown c lassificat ion type.  Data of th is type sh ould be as sumed to a t least be  Restricte d.
        233   Account Ac cess - Sto res creden tials or s ecurity id entificati on codes u sed for sy stem acces s. Informa tion of th is type is  typically  classifie d as Confi dential
        234   Account Be havior - S tores desc ription of  baseline  login beha vior. Info rmation of  this type  is typica lly classi fied as Pu blic.
        235   Third-Part y Confiden tial (e.g.  under NDA ) - Stores  informati on provide d by busin ess partne r to facil itate coll aboration.
        236   Informatio n of this  type is ty pically cl assified a s Confiden tial.
        237   Customer P ersonally  Identifiab le - Store s customer  informati on defined  by privac y laws as  personally  identifia ble (inclu ding Credi t Card inf ormation).  Informati on of this  type is t ypically c lassified  as Restric ted.
        238   Customer C onfidentia l (not per sonally id entifiable  - Stores  customer i nformation  other tha n that def ined by pr ivacy laws  as person ally ident ifiable. I nformation  of this t ype is typ ically cla ssified as  Confident ial.
        239   Employee C ompensatio n - Stores  payroll,  tax, and c ompensatio n algorith ms associa ted with e mployee id entificati on informa tion. Info rmation of  this type  is typica lly classi fied as Co nfidential .
        240   Deal Unann ounced - S tores busi ness partn er negotia tions and  correspond ing strate gies wheth er by firm  or on beh alf of cli ent.
        241   . Informat ion of thi s type is  typically  classified  as Confid ential.
        242  
        243  
        244  
        245   Proprietar y Trade Se cret Sourc e Code - S tores prog rams or co nfiguratio ns used to  run propr ietary sys tems. Info rmation of  this type  is typica lly classi fied as Re stricted.
        246   Business T rade Secre ts - Store s data wit h respect  to busines s strategy  and produ ct deliver y. Informa tion of th is type is  typically  classifie d as Confi dential.
        247   Business O perational  - Stores  data with  respect to  internal  business o perations,  IT, inven tory, work ers, or pr ocess. Inf ormation o f this typ e is typic ally class ified as I nternal.
        248   Employee P ersonally  Identifiab le - Store s employee  informati on defined  by privac y laws as  personally  identifia ble. Infor mation of  this type  is typical ly classif ied as Con fidential
        249   Public Cus tomer Info rmation -  Stores mar keting-rel ated custo mer inform ation not  covered by  privacy r egulation.  Informati on of this  type is t ypically c lassified  as Public.
        250   Public Gov ernment In formation  - Stores i nformation  published  by busine ss or avai lable thro ugh author ized busin ess proces s. Informa tion of th is type is  typically  classifie d as Publi c.
        251   Transactio ns in Prog ress - Sto res detail s concerni ng transit ions prior  to being  made part  of public  record. In formation  of this ty pe is typi cally clas sified as  Confidenti al.
        252   Wide Distr ibution No npublic -  Stores pub lications,  including  software,  covered v ia copyrig ht or lice nse agreem ents.
        253   Informatio n of this  type is ty pically cl assified a s Internal .
        254  
        255  
        256   Windows Ac tive Direc tory
        257   Form Based  Username/ Password H TTP Basic  Authentica tion
        258   HTTP Diges t Authenti cation Cli ent Certif icate
        259   NTLM
        260   VAMF (VA M obile Fram ework) OAU TH
        261   Other  NON EWhat type (s) of aut henticatio n are used  or suppor ted by app lication?
        262  
        263  
        264  
        265  
        266  
        267  
        268  
        269  
        270  
        271  
        272  
        273  
        274  
        275  
        276  
        277  
        278  
        279   Government -wide - Su pport for  government  administr ative func tions
        280   Market Str ategy - Ma rketing an d pricing  Product -  Product de livery and  confirmat ion
        281   Publishing  - Non-pro duct media  or other  material d istributio n Research  - Conduct  and/or di stribute r esearch
        282   Regulatory  - Regulat ory data g athering a nd reporti ng
        283   Risk Manag ement - Go vernment a nd counter party anal ysis Sales  - Custome r relation ship manag ement and  transactio n
        284   processing
        285   Services -  Customer  support an d service  delivery i mprovement What is th e project’ s classifi cation (di rect consu mer(s) of  the applic ation)?
        286  
        287  
        288  
        289  
        290  
        291  
        292  
        293  
        294  
        295  
        296  
        297  
        298  
        299  
        300  
        301  
        302  
        303  
        304  
        305   systems
        306   self-guide d weight m anagement  informatio n app
        307   Other  
        308  
        309  
        310   Internal N etwork Acc ess Requir ed   Inter action can  only occu r when con nected to  the intern al VA netw ork
        311   External P ublic Netw ork Access  RequiredI nteraction  can only  occur from  an untrus ted public  network ( e.g. the p ublic inte rnet)
        312   Secured Co nnection w ith Busine ss Partner s Interact ion can on ly occur t hrough a s ecured con nection fr om a busin ess partne r
        313   Console Ac cessIntera ction can  only occur  through a  console c onnected d irectly to  the compu ter hostin g the appl ication (e .g. serial  terminal  access)Wha t is the l evel of ac cess requi red to int eract with  the appli cation?
        314  
        315  
        316  
        317  
        318  
        319  
        320  
        321  
        322  
        323  
        324  
        325  
        326   No data is  transmitt ed to/from  any VA sy stem or da tabase.How  is data t ransmitted  to/from t he applica tion?
        327  
        328  
        329   Check here  if users  are VA Emp loyees, Co ntractors,  Volunteer s, and oth er acting  on behalf  of VA
        330   Check here  if users  are the Pu blic (Citi zens, Vete rans, Busi nesses, an d others N OT acting  on behalf  of the VA
        331   Check here  if users  are Other  VA Applica tionsWhat  type of us ers will b e accessin g this app lication?
        332  
        333  
        334  
        335  
        336  
        337  
        338  
        339   N/AWhat is  the avera ge number  of users f or the app lication p er day?
        340  
        341  
        342   There are  no user ty pes or rol es in this  app.Descr ibe the us er types a nd roles t hat exist  within the  applicati on? (e.g.  user, admi nistrator,  auditor,  helpdesk,  etc.)
        343  
        344  
        345   NoDoes the  applicati on provide  self-regi stration o f user acc ounts? Is  admin appr oval of re gistered a ccounts re quired?
        346  
        347  
        348   See SDD.Pl ease attac h applicat ion Flow/U sage diagr ams or des ign docume ntation if  available
        349  
        350  
        351   High Risk  Applicatio n - Requir es Read an d/or write  access to  VA sensit ive resour ces
        352   Medium Ris k Applicat ion - Requ ires Write  access to  VA resour ces.
        353   Low Risk A pplication  - Require s Read onl y access t o VA resou rces
        354   Very Low R isk Applic ation - Do es not uti lize VA re sourcesSel ect One ch eckbox for  how the a pplication  should be  analyzed.
        355  
        356  
        357  
        358  
        359  
        360  
        361  
        362  
        363  
        364   Content ge ts updated  with bad  data from  NCP.What i s the most  damaging  or dangero us action  that could  occur in  the applic ation? e.g . read onl y users ca n modify d ata, users  can view  other user s’ credit  card infor mation, et c.
        365  
        366  
        367   Linux Wind ows
        368   Platform N eutral Oth er N/AFor  server sid e applicat ions/compo nents, wha t platform  will the  applicatio n be deplo yed to?
        369  
        370  
        371  
        372  
        373  
        374  
        375  
        376   Desktop Br owser Desk top Client  Apple Bro wser Apple  Native An droid Brow ser Androi d Native
        377   Microsoft  Mobile Bro wser Micro soft Mobil e Native
        378   Other  For  client si de applica tions/comp onents whi ch platfor ms will th e app supp ort?
        379  
        380  
        381  
        382  
        383  
        384  
        385  
        386  
        387  
        388  
        389  
        390  
        391  
        392  
        393  
        394  
        395  
        396   Access Cam era Access  GPS Acces s Calendar  Access Co ntacts Acc ess Remind ers Access  Photos Ac cess Inter net Store  Data Local ly
        397   Other  For  mobile ap ps, select  the entit lements th at the app  will need  access to
        398  
        399  
        400  
        401  
        402  
        403  
        404  
        405  
        406  
        407  
        408  
        409  
        410  
        411  
        412  
        413  
        414  
        415  
        416  
        417  
        418  
        419   FOR OFFICE  USE ONLY
        420  
        421   Date recei ved
        422  
        423   NSD ticket  number
        424  
        425   JIRA ticke t number
        426  
        427   Uploaded c ode locati on