20-маъруза. Дастурий воситалардаги хавфсизлик муаммолари

Имтиёз Хусусият	Default	Private	Protected
Public
Бир хил класс	+	+	+	+
Бир пакет қисмкласси	+	-	+	+
Бир пакет қисмкласси бўлмаган	+	-	+	+
Турли пакет қисмкласслари	-	-	+	+
Турли пакет қисмкласси бўлмаган	-	-	-	+

Теран ҳимоя принципи. Ушбу принципга биноан, битта назоратнинг бўлиши яхши, кўплаб назоратлардан фойдаланиш эса яхшироқ деб қаралади. Теран ҳимояда фойдаланилган назоратлар турли заифлик орқали бўлиши мумкин бўлган таҳдидларни олдини олади. Хавфсиз дастур ёзиш орқали эса, фойдаланиш қийматини текширишни, марказлашган аудитни бошқаришни ва фойдалувчиларнинг барча саҳифалардан фойдаланишларини талаб қилишлари мумкин.
Агар нотўғри ишлаб чиқилган маъмур интерфейси, тармоқдан фойдаланиш қоидаларини тўғри бажарса, фойдаланувчиларнинг авторизациясини текширса ва барча ҳолатларни қайдласа, у аноним ҳужумга бардошсиз бўлиши мумкин эмас.
Хавфсизликнинг бузилиши. Иловалар, турли сабабларга кўра, амалга оширилиши жараёнида бузилишларга учрайди. Масалан, қуйида эътиборсизлик оқибатида қолдирилган хавфсизлик ҳолати келтирилган.
isAdmin = true;
try {
codeWhichMayFail();
isAdmin = isUserInRole( “Administrator” );
}
catch (Exception ex) {
log.write(ex.toString());
}
Мазкур ҳолда codeWhichMayFail() ёки isUserInRole() функцияларида хатолик бўлса ёки бирор Exception кузатилган тақдирда ҳам фойдаланувчи маъмур ролида қолаверади. Бу кўриниб турган хавфсизлик риски ҳисобланади.
Хизматларга ишонмаслик. Ҳозирги кунда кўплаб ташкилотлар учинчи томон, шерикларининг ҳисоблаш имкониятидан фойдаланади. Масалан, бир ташкилот ўз маълумотларини ўз шеригига тегишли дастурий таъминот билан қайта ишлаши мумкин. Бу ҳолда уларга ишониш кафолатланмайди. Масалан, Payme ёки шунга ўхшаш иловалар бир нечта банк карталаридаги маълумотларни тақдим қилади. Мазкур ҳолда, ҳар бир банк фойдаланувчи томонида ўз маълумотларининг тўғри акслантирилганини текшириши лозим.
Вазифаларни ажратиш. Фирибгарликни олдини олишга қаратилган асосий чора – вазифаларни ажратиш. Масалан, ташкилотда компьютер олиш бўйича талаб юборган одам томонидан уни қабул қилинмаслиги шарт. Сабаби, бу ҳолда у кўплаб компьютерларни сўраши ва қабул қилиб олганини рад қилиши мумкин. Баъзи ҳолда, бир рол учун оддий фойдаланувчиларга нисбатан ишонч даражаси турлича бўлади. Масалан, маъмурлар тизимни ўчириши ёки ёқиши, пароллар сиёсатини ўрната олиши керак. Бироқ, улар онлайн савдо дўконига имтиёзга эга фойдаланувчи сифатида кира олмаслиги, хусусан, товарларни бошқалар номидан сотиб олиш имкониятига эга бўлмаслиги керак.
Хавфсизликни ноаниқликдан сақлаш. Ноаниқликка асосланган хавфсиз – заиф хавфсизлик бўлиб, биринчи назоратнинг ўзида хатоликка учрайди. Бу бирор сирни сақлаш ёмон ғоя эканлигини англатмасада, хавфсизликнинг муҳим жиҳатлари тафсилотларнинг яширин бўлишига асосланмаслигини билдиради.
Масалан, дастур хавфсизлиги унинг очиқ кодидан хабардор бўлинганида барбод бўлмаслиги керак. Хавфсизлик кўплаб бошқа омилларга, масалан, паролнинг оқилона сиёсатига, тармоқ архитектурасига, аудитни бошқариш воситаларига таяниши лозим.
Бунга амалий мисол сифатида, Linux операцион тизимини келтириш мумкин. Ушбу операцион тизимнинг коди очиқ ҳисоблансада, тўғри ҳимояланган ва шунинг учун, ҳозирги кундаги мустаҳкам операцион тизимлардан бири ҳисобланади.