21-Маъруза: Дастурий таъминот хавфсизлигининг фундаментал принциплари

Mac OS X 10.4
86 мил.
Boeing 777	7 мил.

Таҳлил

• Таҳлиллар натижаси шуни кўрсатадики ҳар 10 000 қатор кодда, 5 та баг мавжуд бўлар экан. Бошқача қилиб айтилганда ўртача 3кбайт .exe файлда 50 тага яқин баг бўлади.

Дастурий маҳсулотларда хавфсизлик муаммолари

Нуқсон. Дастурни амалга оширишдаги ва лойихалашдаги заифликларнинг барчаси нуқсондир. Нуқсон дастурий воситаларда мавжуд бўлиб, йиллар давомида билинмаслиги мумкин.
Баг. Баг дастурий таъминотни амалга ошириш босқичига тегишли бўлган муаммо. Дастурий воситалардаги багларни осон аниқлаш мумкин. Масалан, Buffer overflow.
Хатолик (error). Дастурлашдаги хатолик (яъни, инсон).

Мисол: Buffer overflow (Хотирани тўлиб тошиши)

• int main()

{

int buffer [10];

buffer [20] =37;

}

Қуйида С дастурлаш тилида ёзилган код келтирилган бўлиб, агар бу код компиляция қилинса хотиранинг тўлиб тошиши ҳодисаси келиб чиқади:

Хавфсиз дастурлаш тиллари

ДТ хавфсизлиги принциплари (OWASP)

Ҳужумга учраш соҳа майдонини минималлаштириш

• Дастурий таъминотга қўшилган ҳар бир хусусият умумий ҳолдаги дастурга маълум миқдордаги хавф даражасини қўшади. Дастурни хавфсиз амалга оширишнинг мақсади бу – ҳужум бўлиши мумкин бўлган соҳани камайтириш орқали умумий дастурдаги хавфни камайтириш.

Мисол:

• Веб сайтларда онлайн ёрдамни амалга ошириш учун қидириш функцияси мавжуд. Бироқ, ушбу имконият веб сайтга SQL – инекция ҳужуми бўлиши эҳтимолини келтириб чиқариши мумкин. Агар қидирув имконияти аутентификациядан ўтган фойдаланувчилар учун бўлса, у ҳолда ҳужум бўлиши эҳтимоли камаяди. Агар қидирув маълумотлари марказлашган ҳолатда текширилса, у ҳолда ушбу имконият янада камаяди.