Copy/Paste ist eine gefährliche Codierungstechnik
Copy/Paste ist eine gefährliche Codierungstechnik
Forscher von VirginiaTech veröffentlichten ein Papier, nachdem sie Hunderte von Beiträgen auf dem beliebtesten Entwicklerforum (Stack Overflow) analysiert hatten. Sie untersuchten die Art der Fragen, die rund um das Thema Sicherheit gestellt werden, die beliebtesten Antworten der Community und die Auswirkungen auf den Code von Softwareingenieuren.
Das ist keine wirkliche Überraschung für Leute, die sich schon länger mit Cybersicherheit beschäftigen, aber aus Entwicklersicht ist mehr Bewusstsein für dieses Problem erforderlich:
- Sicherheitsfunktionen, die von Kodierungsframeworks (z. B. JAVA Spring) bereitgestellt werden, sind übermäßig kompliziert und schlecht dokumentiert
- Eine beträchtliche Anzahl von Entwicklern scheint die Sicherheitsimplikationen von Codierungsoptionen nicht zu verstehen, was auf einen Mangel an Cybersicherheitsschulung hinweist
- Viele der Vorschläge und "Korrekturen" in diesen Foren sind nicht sicher, erhielten aber positive Stimmen und damit höhere Bewertungen
Der Bericht schlägt die folgenden Lösungen vor:
- Umschulung der Arbeitskräfte
- Halb-automatische Erkennung und Behebung von Sicherheitsfehlern
Wir müssen die Sicherheit für Entwickler einfach machen und von Anfang an einbauen, um die Geschwindigkeit aufrechtzuerhalten, mit der Unternehmen heute arbeiten.
"Die Bedeutung dieser Arbeit liegt darin, dass wir empirische Beweise für eine signifikante Anzahl von alarmierenden Problemen bei der sicheren Codierung geliefert haben, über die bisher noch nicht berichtet wurde", heißt es in dem Papier. "Diese Probleme sind auf eine Vielzahl von Gründen zurückzuführen, darunter der schnell wachsende Bedarf an Sicherheitsanwendungen in Unternehmen, die mangelnde Sicherheitsausbildung der Softwareentwickler und schlecht konzipierte Sicherheitsbibliotheken."
https://www.theregister.com/2017/09/29/java_security_plagued_stack_overflow/
Tauchen Sie ein in unsere neuesten Erkenntnisse über sichere Kodierung im Blog.
Unsere umfangreiche Ressourcenbibliothek zielt darauf ab, die menschliche Herangehensweise an eine sichere Weiterbildung im Bereich der Programmierung zu stärken.
Holen Sie sich die neuesten Forschungsergebnisse zur entwicklergesteuerten Sicherheit
Unsere umfangreiche Ressourcenbibliothek ist voll von hilfreichen Ressourcen, von Whitepapers bis hin zu Webinaren, die Ihnen den Einstieg in die entwicklungsorientierte sichere Programmierung erleichtern. Erforschen Sie sie jetzt.
Copy/Paste ist eine gefährliche Codierungstechnik
Forscher von VirginiaTech veröffentlichten ein Papier, nachdem sie Hunderte von Beiträgen auf dem beliebtesten Entwicklerforum (Stack Overflow) analysiert hatten. Sie untersuchten die Art der Fragen, die rund um das Thema Sicherheit gestellt werden, die beliebtesten Antworten der Community und die Auswirkungen auf den Code von Softwareingenieuren.
Das ist keine wirkliche Überraschung für Leute, die sich schon länger mit Cybersicherheit beschäftigen, aber aus Entwicklersicht ist mehr Bewusstsein für dieses Problem erforderlich:
- Sicherheitsfunktionen, die von Kodierungsframeworks (z. B. JAVA Spring) bereitgestellt werden, sind übermäßig kompliziert und schlecht dokumentiert
- Eine beträchtliche Anzahl von Entwicklern scheint die Sicherheitsimplikationen von Codierungsoptionen nicht zu verstehen, was auf einen Mangel an Cybersicherheitsschulung hinweist
- Viele der Vorschläge und "Korrekturen" in diesen Foren sind nicht sicher, erhielten aber positive Stimmen und damit höhere Bewertungen
Der Bericht schlägt die folgenden Lösungen vor:
- Umschulung der Arbeitskräfte
- Halb-automatische Erkennung und Behebung von Sicherheitsfehlern
Wir müssen die Sicherheit für Entwickler einfach machen und von Anfang an einbauen, um die Geschwindigkeit aufrechtzuerhalten, mit der Unternehmen heute arbeiten.
"Die Bedeutung dieser Arbeit liegt darin, dass wir empirische Beweise für eine signifikante Anzahl von alarmierenden Problemen bei der sicheren Codierung geliefert haben, über die bisher noch nicht berichtet wurde", heißt es in dem Papier. "Diese Probleme sind auf eine Vielzahl von Gründen zurückzuführen, darunter der schnell wachsende Bedarf an Sicherheitsanwendungen in Unternehmen, die mangelnde Sicherheitsausbildung der Softwareentwickler und schlecht konzipierte Sicherheitsbibliotheken."
https://www.theregister.com/2017/09/29/java_security_plagued_stack_overflow/