NSA βοηθά το όνομα πιο επικίνδυνα λάθη προγραμματισμού

Μια ομάδα περισσότερων από 30 οργανισμών ηλεκτρονικών υπολογιστών έχει πάρει αυτό που μερικοί καλούν ένα μεγάλο βήμα προς την ασφαλέστερη εφαρμογή του λογισμικού.

Υπό την καθοδήγηση εμπειρογνωμόνων της Υπηρεσίας Εθνικής Ασφαλείας των ΗΠΑ, του Υπουργείου Εσωτερικής Ασφάλειας, της Microsoft και της Symantec, η ομάδα σχεδιάζει να δημοσιεύσει τη Δευτέρα ένα σχέδιο που περιγράφει τα πιο επικίνδυνα λογισμικά σφάλματα προγραμματισμού.

Η λίστα αντιπροσωπεύει την πρώτη φορά που η βιομηχανία έχει καταλήξει σε συναίνεση για τα χειρότερα πράγματα που μπορεί να συμβεί όταν γράφεται λογισμικό. Πώς να αφαιρέσετε το κακόβουλο λογισμικό από τον υπολογιστή σας Windows

"Η κορυφαία λίστα 25 δίνει στους προγραμματιστές ένα ελάχιστο σύνολο σφαλμάτων κωδικοποίησης που πρέπει να εξαλειφθούν πριν το λογισμικό χρησιμοποιηθεί από τους πελάτες", δήλωσε ο Chris Wysopal, αλλά όχι μόνο μια λίστα, το έγγραφο θα μπορούσε να χρησιμοποιηθεί ως διαπραγματευτικό εργαλείο μεταξύ αγοραστών και προμηθευτών λογισμικού, δήλωσε ο Alan Paller, διευθυντής έρευνας στο Ινστιτούτο SANS, μια ομάδα εκπαίδευσης για την ασφάλεια που η Νέα Υόρκη προχωράει τώρα στην ανάπτυξη εγγράφων προμηθειών που θα μπορούσαν να χρησιμοποιηθούν από κρατικούς οργανισμούς για να κάνουν τους πωλητές να πιστοποιήσουν ότι ο κώδικας τους δεν περιέχει κανένα από αυτά τα σφάλματα προγραμματισμού. Τελικά αυτό θα κάνει τον πωλητή, όχι το κράτος, υπεύθυνο όταν το buggy λογισμικό οδηγεί σε ένα πρόβλημα ασφαλείας, είπε ο Paller. "Όταν το λογισμικό αποδειχθεί λανθασμένο … όλη η οικονομική ευθύνη τους μετατοπίζεται."

Ο Paller αναμένει ότι αυτό το είδος πιστοποίησης, σχεδόν άγνωστο σήμερα, θα γίνει πιο συνηθισμένο τώρα που ένα τέτοιο μεγάλο μέρος της βιομηχανίας συμφώνησε σχετικά με τα λάθη προγραμματισμού που είναι πιο επικίνδυνα. Ωστόσο, αναμένει ότι θα χρησιμοποιηθεί σε μεγάλα συμβόλαια προσαρμοσμένης κωδικοποίησης και όχι σε συμφωνίες αδειοδότησης λογισμικού που χρησιμοποιούνται για ευρέως διανεμημένο λογισμικό, όπως τα Microsoft Windows.

Τα ελαττώματα περιλαμβάνουν πράγματα όπως η επέμβαση SQL injection ή cross-site scripting attacks, την αποστολή ευαίσθητων πληροφοριών σε καθαρό κείμενο, οι οποίες μπορούν να διαβαστούν εύκολα, και κωδικών ασφαλείας σκληρής κωδικοποίησης σε προγράμματα, όπου είναι δύσκολο να αλλάξουν εάν εντοπιστούν. Ο κατάλογος των σφαλμάτων έχει οριστεί για δημοσίευση εδώ.

Δύο από αυτά τα σφάλματα οδήγησαν σε περισσότερες από 1,5 εκατομμύρια παραβιάσεις ιστότοπων πέρυσι, ανέφερε ο SANS. Και αυτό ήταν μόνο η αρχή: Συχνά, αυτές οι παραβιάσεις του Διαδικτύου χρησιμοποιήθηκαν από τους online επιτιθέμενους για να ξεκινήσουν έπειτα περισσότερες επιθέσεις εναντίον ανθρώπων που περιηγούσαν στα μανιασμένα sites.