软件漏洞产业现状与发展.PDFVIP

软件漏洞产业：现状与发展 1 2 1 韦韬 王贵驷 邹维 1北京大学计算机科学技术研究所互联网安全技术北京市重点实验室 2中国信息产业商会信息安全产业分会 大纲 关于软件漏洞 软件漏洞产业 中游：安全信息提供机构 下游：漏洞信息资源的应用 上游：软件漏洞发现 对我国软件漏洞产业的几点思考 2 大纲 关于软件漏洞 软件漏洞产业 中游：安全信息提供机构 下游：漏洞信息资源的应用 上游：软件漏洞发现 对我国软件漏洞产业的几点思考 3 什么是软件漏洞 通用漏洞与披露（CVE ） 一个错误（mistake ）如果可以被攻击者用于违反 目标系统的一个合理的安全策略，那么它就是一个 漏洞。 一个漏洞可以使目标系统处于下列危险状态之一 允许攻击者以他人身份运行命令（认证） 允许攻击者违反访问控制策略去访问数据（授权） 允许攻击者伪装成另一个实体（完整性、不可抵赖性） 允许攻击者发起拒绝服务攻击（可用性） 4 漏洞多样性与复杂性 漏洞总数 已收录漏洞已经超过71000个(OSVDB) 漏洞12个支柱分类（CWE ） 被索引资源的不当访问 包括栈溢出、堆溢出、回绕错误等 相互作用错误 指各部分独立工作都正常，但一起工作时发生错误，包括字节 序不正确、编译器不当优化等 在资源生命周期中的不当控制 包括安全相关信息丢失，所有权未检验，隐蔽信道，不充分的 锁机制等 …… 5 软件漏洞多样复杂的后果 计算机辅助漏洞挖掘有很大的难度 有些漏洞机制甚至很难建模 有些漏洞机制虽然可以建模，但要对其进行完备性 分析等价于图灵机停机问题 难以普及教育 很难让普通程序员对这些漏洞机制有完整的正确的 认识，从而完全避免在程序中引入安全漏洞 6 软件漏洞产生的多方面原因 软件规模迅速增大 Windows系统已经从NT 3.1的500万行代码增加到 了Windows Vista 的5000万行 Linux 2.2.0约200万行，2.6.0约500万行，而 2.6.35超过1300万行 软件技术越来越复杂 类、模板、动态类型、COM、Aspect等，大幅度 增加了软件内部结构的复杂性； 软件架构的安全性考虑不足 模块间耦合过于紧密，比如进程内的单一地址空间， 可执行代码的跨进程传递等等。 7 软件安全的“柠檬市场”效应 “柠檬市场”效应 在信息不对称的情况下，往往好的商品遭受淘汰， 而劣等品会逐渐占领市场并取代好的商品，导致市 场被劣等品充斥 二手车市场 产品的卖方对产品质量比买方有更多信息 经济学上的外在性（externality ） 象环境污染一样，软件漏洞的造成的损失需要全社 会来承受 软件厂商为修补漏洞所付出的代价与社会因为漏洞 遭受的损失相比微不足道