Heartbleed：震驚互聯(lián)網(wǎng)世界的計(jì)算機(jī)錯(cuò)誤是編碼人員錯(cuò)誤的結(jié)果。Internet Explorer 的零日漏洞也是如此。這些漏洞的巨大影響，尤其是 Heartbleed 是有目共睹的……問題又出現(xiàn)了，關(guān)于開發(fā)人員遵循的安全協(xié)議。僅僅是部分開發(fā)人員的粗心大意嗎？或者我們是否在制造很多色彩并為無法控制的事情哭泣？我們將與您分享7大網(wǎng)站安全錯(cuò)誤列表，如果程序員避免這些錯(cuò)誤，可以避免許多不眠之夜。沒有任何不可告人的意圖，我們將稱它們?yōu)椋?/p>
編碼員應(yīng)遵循的 7 條誡命：
1) 相信你的開發(fā)者伙伴……永遠(yuǎn)不要！
眾所周知，應(yīng)用程序通常是使用由其他編碼人員編寫的專有代碼或第三方軟件構(gòu)建的。您可能想相信它們是安全的并且不包含任何漏洞，并且不會(huì)再考慮兩次檢查它們是否存在安全漏洞。雖然您將花時(shí)間保護(hù)您構(gòu)建的應(yīng)用程序，但過去的漏洞最終仍然使您的應(yīng)用程序可被利用。
因此，開發(fā)人員需要做的是，要么嘗試從頭開始編寫代碼（等一下，不要掛我們?。?，要么確保您打算使用的第三方軟件遵循 OWASP/行業(yè)標(biāo)準(zhǔn)的最新指南。如果您有第三方軟件的源代碼，則必須對(duì)其進(jìn)行靜態(tài)和動(dòng)態(tài)分析。
2) 你應(yīng)該禁止硬編碼密碼
您正在編寫代碼，進(jìn)行了一些測(cè)試并且有很多事情要做，忘記刪除硬編碼的密碼......我的意思是，這可以理解，對(duì)嗎？有“n”件事情要做，你忘記刪除一些硬編碼的密碼會(huì)有多大的影響。你沒有注意到它，所以還有誰會(huì)……對(duì)吧？也許沒有人會(huì)。
或者也許有人可能！
2011 年，一名安全研究人員在西門子工業(yè)控制系統(tǒng)中發(fā)現(xiàn)了一個(gè)硬編碼密碼，該密碼可以讓攻擊者使用惡意命令對(duì)系統(tǒng)進(jìn)行重新編程，從而破壞關(guān)鍵基礎(chǔ)設(shè)施，甚至鎖定合法管理員。硬編碼對(duì)程序員來說很容易……但如果以后有必要的話，就更難改變了。如果一個(gè)人在所有軟件中使用相同的密碼并且被惡意元素發(fā)現(xiàn)，那么每個(gè)客戶都會(huì)變得容易受到攻擊，并且由于難以修復(fù)，因此可以長(zhǎng)期感受到影響。
您可以讓其他程序員或團(tuán)隊(duì)審查您的代碼，以確保代碼中不存在硬編碼密碼。
3）您不得保留后門帳戶
不要在您的代碼中保留后門管理帳戶開戶。你可能會(huì)說你把它留在那里并忘記了它……但你不能這樣說來擺脫你的責(zé)任。你認(rèn)為沒有人會(huì)找到它，但總會(huì)有人找到。
谷歌前首席執(zhí)行官兼現(xiàn)任董事長(zhǎng)埃里克施密特曾說過：“如果你有不想讓任何人知道的事情，也許你一開始就不應(yīng)該這樣做?！?/p>
因此，如果您不希望人們知道您的后門條目，請(qǐng)不要一開始就將它們留在那里。
許多公司被指控在其應(yīng)用程序中保留后門條目。蘋果是最新加入名單的公司，被指控在大約 6 億臺(tái) iOS 設(shè)備中故意安裝安全后門，這可能導(dǎo)致用戶所有敏感數(shù)據(jù)的訪問。您永遠(yuǎn)不知道會(huì)發(fā)現(xiàn)隱藏門的人將是朋友還是敵人，并希望沒有人會(huì)對(duì)您的應(yīng)用程序或其安全功能感興趣，這是相當(dāng)輕率的。
4) 你應(yīng)該履行你的職責(zé)并檢查所有輸入
確保您的輸入有效。不要信任所有輸入并允許所需的最低權(quán)限。對(duì)包含用戶名的內(nèi)容非常嚴(yán)格。例如，如果您希望輸入數(shù)字，請(qǐng)不要輸入字母。黑客可以通過以意想不到的方式修改輸入來利用不正確的輸入驗(yàn)證。您可以做的另一件事是在將所有輸入用作輸出時(shí)對(duì)其進(jìn)行 HTML 編碼。輸出編碼不足是大多數(shù)基于注入的攻擊的基礎(chǔ)。
SQL 注入連續(xù)兩次位居 OWASP 前 10 名漏洞之首。它是周圍最危險(xiǎn)的安全漏洞之一，最近的大多數(shù)違規(guī)行為都?xì)w因于它。不要盲目相信來自外部來源的輸入，例如基于 Web 的輸入。這樣提交的 SQL 查詢可以被利用來執(zhí)行不希望的操作?？梢岳斫?，編碼人員無法檢查每個(gè)數(shù)據(jù)輸入，這可能非常耗時(shí)，但這是他們本質(zhì)上必須做的。代碼就像你的軟件的一扇門，無論多么累，編碼員都有責(zé)任確保只有有效的輸入被傳入。
5) 您不得放棄保護(hù)您的數(shù)據(jù)的義務(wù)
在討論了輸入處理的主題之后，我們轉(zhuǎn)向數(shù)據(jù)安全。SANS Institute 列出的 25 個(gè)最危險(xiǎn)的編程錯(cuò)誤和 OWASP Web應(yīng)用程序安全問題 Top 10，安全數(shù)據(jù)分別排在第 8位和第 6位。
編碼人員應(yīng)該比他們認(rèn)為應(yīng)該更頻繁地使用加密。尤其是在當(dāng)今時(shí)代，當(dāng)用戶的個(gè)人信息包含極其敏感的細(xì)節(jié)時(shí)，如財(cái)務(wù)數(shù)據(jù)、身份數(shù)據(jù)等等。盡管在所有可能的地方使用加密，對(duì)我們來說似乎是一件輕而易舉的事，但由于它在整個(gè)過程中增加了一個(gè)步驟的非常明顯的原因，它仍然沒有被突出使用。與加密相比，在純文本中查找錯(cuò)誤要容易得多，但出于同樣的原因，加密是必要的。我們不希望我們的數(shù)據(jù)以銀盤形式交給黑客……而加密可以防止這種情況發(fā)生。正確實(shí)施的加密有助于保持?jǐn)?shù)據(jù)的安全。
6) 尊重你為之構(gòu)建代碼的人——不要忽視第 8 層
您可能會(huì)考慮所有因素，但仍然失敗，因?yàn)槟浛紤]最重要的因素……將成為最終用戶的人。我們并不是說程序員應(yīng)該在這里受到指責(zé)。用戶有自己的想法……你可能會(huì)說些什么，但對(duì)他們來說，這可能意味著完全不同的東西。
你問，編碼人員可以對(duì)此做些什么。很多！像最終用戶一樣思考，看看為用戶準(zhǔn)備的錯(cuò)誤消息和提示是否像你想象的那樣清晰。不要假設(shè)用戶總是能理解你的意思。當(dāng)他們?cè)噲D改變他們不應(yīng)該做的事情時(shí)，你會(huì)給他們一個(gè)警告信息嗎？大多數(shù)時(shí)候，您認(rèn)為不言自明的命令對(duì)用戶來說毫無意義！
7）你應(yīng)該建造適當(dāng)?shù)膲?，只授?quán)那些認(rèn)為必要的東西
編碼員很難進(jìn)行適當(dāng)?shù)目刂啤？刂七^多，軟件用戶會(huì)感到窒息。太少了，他們就會(huì)陷入困境……他們希望你保護(hù)他們。因此，他們希望獲得門控安全的所有優(yōu)勢(shì)，但不想訂閱隨之而來的安全標(biāo)準(zhǔn)。許多用戶傾向于繞過基本的安全措施，以至于他們堅(jiān)持使用默認(rèn)憑據(jù)，除非被迫更改它們。
而你，編碼員總是會(huì)考慮給用戶多少皮帶。如果你讓事情變得困難，用戶會(huì)抱怨并使軟件對(duì)用戶不友好……你讓用戶變得容易，行動(dòng)對(duì)攻擊者來說是回報(bào)的。
分離少數(shù)操作，例如需要財(cái)務(wù)數(shù)據(jù)輸入的操作，可能是一種出路。這里有一個(gè)雙因素身份驗(yàn)證解決了不允許黑客有機(jī)會(huì)利用松懈的安全措施的目的。
例如，在使用信用卡付款的應(yīng)用程序中，您是否要將信用卡號(hào)碼存儲(chǔ)在現(xiàn)金中，甚至存儲(chǔ)在服務(wù)器上？與信用卡關(guān)聯(lián)的姓名和地址呢？CVV號(hào)？從嚴(yán)格的安全角度來看，這里的關(guān)鍵組件是哪些？這里的權(quán)衡是對(duì)用戶的便利性而不是安全性。
