19-Маъруза: Дастурий воситалардаги хавфсизлик муаммолари Дастурий маҳсулотлар хавфсизлигининг долзарблиги

Дастурий маҳсулотларда хавфсизлик муаммолари

Нуқсон. Дастурни амалга оширишдаги ва лойихалашдаги заифликларнинг барчаси нуқсондир. Нуқсон дастурий воситаларда мавжуд бўлиб, йиллар давомида билинмаслиги мумкин.
Баг. Баг дастурий таъминотни амалга ошириш босқичига тегишли бўлган муаммо. Дастурий воситалардаги багларни осон аниқлаш мумкин. Масалан, Buffer overflow.
Хатолик (error). Дастурлашдаги хатолик (яъни, инсон).

Мисол: Buffer overflow (Хотирани тўлиб тошиши)

• int main()

{

int buffer [10];

buffer [20] =37;

}

Қуйида С дастурлаш тилида ёзилган код келтирилган бўлиб, агар бу код компиляция қилинса хотиранинг тўлиб тошиши ҳодисаси келиб чиқади:

Хавфсиз дастурлаш тиллари

ДТ хавфсизлиги принциплари (OWASP)

Ҳужумга учраш соҳа майдонини минималлаштириш

• Дастурий таъминотга қўшилган ҳар бир хусусият умумий ҳолдаги дастурга маълум миқдордаги хавф даражасини қўшади. Дастурни хавфсиз амалга оширишнинг мақсади бу – ҳужум бўлиши мумкин бўлган соҳани камайтириш орқали умумий дастурдаги хавфни камайтириш.

Мисол:

• Веб сайтларда онлайн ёрдамни амалга ошириш учун қидириш функцияси мавжуд. Бироқ, ушбу имконият веб сайтга SQL – инекция ҳужуми бўлиши эҳтимолини келтириб чиқариши мумкин. Агар қидирув имконияти аутентификациядан ўтган фойдаланувчилар учун бўлса, у ҳолда ҳужум бўлиши эҳтимоли камаяди. Агар қидирув маълумотлари марказлашган ҳолатда текширилса, у ҳолда ушбу имконият янада камаяди.

ДТ хавфсизлиги принциплари (OWASP)

Хавфсиз стандарт созланмаларни ўрнатиш

• Амалда аксарият дасурий таъминотларда, операцион тизимларда кўплаб хавфсизлик созланмалари стандарт тартибда ўрнатилган бўлади. Бироқ, бу ҳолат фойдаланувчилар томонидан кўп ҳам яхши қабул қилинмайди ва шунинг учун аксарият ҳолларда ушбу созланмаларни ўчириб қўйиш амалга оширилади.

Мисол:

• ОТда паролларни эскириш вақти стандарт ҳолда ўрнатилган бўлади. Бироқ, аксарият фойдаланувчилар томонидан ушбу созланма ўчириб қўйилади.