NSA Membantu Nama Paling Kesalahan Pemrograman Berbahaya

Sekumpulan lebih daripada 30 organisasi komputer telah mengambil apa yang sedang dipanggil langkah-langkah besar untuk menjadikan perisian lebih selamat.

Dipimpin oleh pakar-pakar dari Agensi Keselamatan Negara AS, Jabatan Keselamatan Dalam Negeri, Microsoft dan Symantec, kumpulan itu merancang untuk menerbitkan pada hari ini cetak biru yang menggariskan kesilapan pengaturcaraan perisian yang paling berbahaya.

Senarai ini merupakan kali pertama industri telah mencapai konsensus tentang perkara-perkara yang paling buruk yang boleh terjadi ketika perisian sedang ditulis.

[Bacaan lanjut: Bagaimana untuk membuang malware dari PC Windows anda]

"Senarai 25 teratas memberi pemaju sekurang-kurangnya set kesalahan pengkodan yang mesti dihapuskan sebelum perisian digunakan oleh pelanggan," kata Chris Wysopal, ketua pegawai teknologi dengan Ve

Lebih daripada sekadar senarai, namun dokumen itu boleh digunakan sebagai alat rundingan antara pembeli dan vendor perisian, kata Alan Paller, pengarah penyelidikan dengan SANS Institute, sebuah kumpulan latihan keselamatan yang menerapkan kerja.

Bahkan, negara New York kini sedang membangunkan dokumen perolehan yang boleh digunakan oleh agensi negeri untuk membuat vendor mereka mengesahkan bahawa kod mereka tidak mengandungi kesilapan pengaturcaraan ini. Akhirnya ia akan menjadikan vendor, bukan negeri, bertanggungjawab apabila perisian buggy membawa kepada masalah keselamatan, kata Paller. "Apabila perisian itu didapati cacat … semua liabiliti ekonomi beralih kepada mereka."

Paller menjangkakan bahawa persijilan jenis ini, yang hampir tidak diketahui hari ini, akan menjadi lebih umum sekarang bahawa sebahagian besar industri telah bersetuju pada kesilapan pengaturcaraan apa yang paling berbahaya. Tetapi ia menjangkakan ia akan digunakan dalam kontrak pengkodan adat yang besar dan bukannya dalam perjanjian pelesenan perisian yang digunakan untuk perisian yang diedarkan secara meluas seperti Microsoft Windows.

Kelemahan termasuk perkara-perkara seperti membenarkan suntikan SQL atau serangan skrip rentetan tapak, menghantar maklumat sensitif dalam teks yang jelas, yang boleh dibaca dengan mudah, dan kata laluan keselamatan pengekodan keras ke dalam program, di mana mereka sukar untuk berubah jika ditemui. Senarai kesilapan ditetapkan untuk disiarkan di sini.

Dua daripada pepijat ini menyebabkan lebih daripada 1.5 juta pelanggaran laman web pada tahun lalu, kata SANS. Dan itu hanya permulaan: Sering kali, pelanggaran Web ini digunakan oleh penyerang dalam talian untuk melancarkan lebih banyak serangan terhadap orang yang melayari laman web yang digodam.