NSA pomaže imenovati najopasnije greške u programiranju

Grupa od više od 30 računalnih organizacija poduzela je ono što neki zovu veliki korak ka stvaranju softvera sigurnijim.

Vođeni stručnjaci Američke agencije za nacionalnu sigurnost, Ministarstva domovinske sigurnosti, Microsoft i Symantec, grupa planira u ponedjeljak objaviti nacrt koji ilustrira najopasnije pogreške softvera u programiranju.

Popis predstavlja prvi put da je industrija postigla konsenzus o najgorim stvarima koje se mogu dogoditi kada se piše softver.

[Daljnja čitanja: Kako ukloniti zlonamjerni softver s računala sa sustavom Windows]

"Najpopularnijih 25 popisa daje razvojnim programerima minimalni skup pogrešaka kodiranja koji moraju biti iskorijenjeni prije nego što klijenti koriste softver", rekao je Chris Wysopal, glavni direktor tehnologije Ve

Više od popisa, međutim, dokument bi se mogao koristiti kao pregovarački alat između kupaca i dobavljača softvera, rekao je Alan Paller, direktor istraživanja SANS-Instituta, skupine za sigurnosnu izobrazbu koja

U stvari, država New York sada razvija dokumente o nabavi koji bi državni organi mogli koristiti kako bi njihovi dobavljači potvrdili da njihov kod ne sadrži niti jednu od tih programskih pogrešaka. U konačnici, taj će dobavljač, a ne država, biti odgovoran kada bugovni softver dovodi do sigurnosnog problema, rekao je Paller. "Kad se otkrije da je softver pogrešan … sve im je ekonomska odgovornost pomaknuta".

Paller očekuje da će ova vrsta certifikacije, gotovo nepoznata danas, postati sve češća sada kada se takav veliki dio industrije dogovorio o programskim pogreškama koje su najopasnije. Ali on očekuje da će se koristiti u velikim prilagođenim kodnim ugovorima umjesto u sporazumima o licenciranju softvera koji se koriste za široko distribuirani softver kao što je Microsoft Windows.

Nedostatci uključuju stvari kao što je dopuštanje SQL injection ili cross-site scripting napada, slanje osjetljivih informacija u jasan tekst, koji se lako može čitati i kodiranje sigurnosnih zaporki u programe, gdje ih je teško promijeniti ako se otkriju. Popis pogrešaka postavljen je ovdje.

Dvije od tih grešaka dovele su do prošlogodišnje više od 1,5 milijuna kršenja web stranica, rekao je SANS. A to je bio samo početak: Često su ove web prekršaje koristili napadači na mreži i pokrenuli više napada protiv ljudi koji su surfali hakiranim web-lokacijama.