kezz
14.01.2009, 02:21
Специалисты по кибербезопасности из более 30 компаний и организаций составили список из 25 наиболее опасных ошибок программирования. Эксперты надеются на то, что их труд поможет кардинально изменить подход к написанию софта и предотвратить возникновение уязвимостей, благодаря которым злоумышленники регулярно наносят пользователям и компаниям серьёзный ущерб.
В заявлении руководителя проекта Top 25 Errors Боба Мартина (Bob Martin) справедливо отмечается, что метод латания дыр, которым обычно руководствуются производители ПО, не оправдывает себя. Это борьба со следствиями, в то время как гораздо эффективнее искоренять причины. В данном случае — научить программистов компьютерному "правописанию". Ведь большинство из них даже не осознают, что пишут уязвимый код.
Кроме того, процесс создания ПО должен включать в себя обнаружение и исправление ошибок, в том числе при помощи специальных программных инструментов. Также участники проекта рассчитывают внедрить соответствующую сертификацию программных продуктов, чтобы потребители имели возможность выбирать наиболее надёжные программы. И, наконец, составленный список ошибок может использоваться IT-компаниями для проверки навыков своих программистов, а также при приёме их на работу.
Ошибки из Top 25 Errors поделены на три категории: небезопасное взаимодействие между компонентами (9 ошибок), рискованное управление ресурсами (9 ошибок) и дырявая защита (7 ошибок). Среди них можно встретить как классические ошибки вроде переполнения буфера, так и те, что специфичны именно для веб-программирования.
источник
webplanet.ru
оригинал
http://cwe.mitre.org/top25/
В заявлении руководителя проекта Top 25 Errors Боба Мартина (Bob Martin) справедливо отмечается, что метод латания дыр, которым обычно руководствуются производители ПО, не оправдывает себя. Это борьба со следствиями, в то время как гораздо эффективнее искоренять причины. В данном случае — научить программистов компьютерному "правописанию". Ведь большинство из них даже не осознают, что пишут уязвимый код.
Кроме того, процесс создания ПО должен включать в себя обнаружение и исправление ошибок, в том числе при помощи специальных программных инструментов. Также участники проекта рассчитывают внедрить соответствующую сертификацию программных продуктов, чтобы потребители имели возможность выбирать наиболее надёжные программы. И, наконец, составленный список ошибок может использоваться IT-компаниями для проверки навыков своих программистов, а также при приёме их на работу.
Ошибки из Top 25 Errors поделены на три категории: небезопасное взаимодействие между компонентами (9 ошибок), рискованное управление ресурсами (9 ошибок) и дырявая защита (7 ошибок). Среди них можно встретить как классические ошибки вроде переполнения буфера, так и те, что специфичны именно для веб-программирования.
источник
webplanet.ru
оригинал
http://cwe.mitre.org/top25/