|
ثبت شده توسط SAMPro
تاريخ ثبت: 1387/05/02 - 20:04:37
تعداد نمايش: 331
توسعه گران نرم افزار های متن باز , مجرای امنیتی را در توسعه ی نرم افزار هایشان رعایت نمی کنند .
آيا نرم افزار هاي متن باز غير ايمن هستند؟
يک موسسه برجسته در زمينه امنيت نرم افزار گزارش هاي تحقيقاتي را منتشر نموده است که با دلايلي روشن مي کند، توسعه گران نرم افزار هاي متن باز، مجراي امنيتي را در توسعه نرم افزار هايشان رعايت نمي کنند.
يکي از تئوري هاي اوليه که پشت نرم افزار هاي متن باز و امنيت وابسته ي آنها قرار مي گيرد اين است که در حقيقت چشم جهانيان به کدي است که نقاط واقعي و پنهاني خطا را تشخيص مي دهد. و تنها نظارت اين چشمان کافي نيست. در حقيقت نيرومند ساختن (Fortify) درباره ي يک شاخه ي جديدي گفتگو مي کند که مي گويد نرم افزار هاي متن باز غير ايمن هستند و تشکيلات , تاسيسات و غيره را در خطر ريسک قرار مي دهند چرا که روال هاي توسعه ي ايمن در آنها به خوبي اتخاذ نمي شود.
مطالعات Fortify بر روي 11 پروژه ي متن بازي که با جاوا نوشته شده اند متمرکز شده است و آنها را از طريق جرياني از آزمايشات براي تشخيص شيوه هاي امنيتي , اجرا مي کند. در Fortify معمولي بر روي اين موضوع بحث مي شود که اين پروژه تنوعي از قابليت هاي آسيپ پذيري امنيتي , شامل Cross Site Scripting و حفره هاي تزريق به SQL و نيز روي هم رفته نبود به جا و بمورد روال توسعه ي امن , را دارا مي باشد.
Jacob West , مدير گروه تحقيقاتي امنيت در Fortify مي گويد : "ما فکر مي کنيم که نرم افزار هاي متن باز ناحيه اي خطر کشف نشده مي باشند که ما مي خواهيم تا موسسات آن را بهتر بشناسند " , "ما قابليت هاي آسيب پذيري در خورد توجهي را در تمام اين 11 بسته ي متن بازي که بر روي آنها تمرکز داشته ايم , پيدا کرده ايم. به خاطر تعدد شايعاتي که به ما رسيده است ما فکر مي کنيم که پروژه هاي متن باز ابزارات امنيتي را به درستي به کار نمي برند."
اين 11 پروژه که Fortify بر روي آنها تمرکز کرده عبارت اند از :
- Derby (relational database)
- Geronimo (app server)
- Hibernate (object relational mapping tool)
- Hipergate (CRM web application)
- JBoss Application server
- Jonas Application server
- OFBiz E-Business solution web application
- OpenCMS Content management solution
- Resin Application server
- Struts Web application framework
- Apache Tomcat app server
گاهي اوقات تنها ابزارات کافي نيستند
West مي گويد، گاهي اوقات تنها ابزارات کافي نيستند و پروژه ها نياز دارند تا خودشان را بفهمند تا مشکلات را حل نمايند و امنيت را به عنوان جزئي از متدلوژي روال توسعه دخيل نمايند.
West مي گويد : "اصلي ترين پيامي که اين گزارش به ما مي دهد گرداگرد نبود روال امنيت و نياز براي ايجاد آن مي باشد."
در منظر West , در سمت مالکان تجاري , سازمان هاي بزرگ شروع به اتخاذ روال هاي توسعه ي امنيتي نموده اند و آنها کارهايي مانند ارزيابي ريسک آشکار انجام مي دهند و واقعا کليد هاي امنيتي را در هر مرحله ي از توسعه ايچاد مي کنند.
West مي گويد : "هدف واقعي , بالابردن سطح اطلاعات انجمن هاي موسسات و سازمان ها و هم خود توسعه گران , مي باشد ". "من شديدا احساس مي کنم که ما اين کار را به يک روش معتبر انجام مي دهيم و تمرکز ما به يک کمبود ويژه در يک پروژه ي ويژه معطوف نشده است". "من نمي توانم پيش گويي کنم که انجمن متن باز درباره ي اين گزارش چه خواهد گفت ولي ما بيشترين تلاشمان را مي کنيم تا وضعيت را از طريق توجه به آن بهبود بدهيم".
نظرات كاربران در مورد اين خبر ()
|
|
|
|
|
امتياز فعلي:
|
در حال ارسال رأي ...
در حال تغيير رأي ...
|
|