采用自动化分析工具实现安全编码研究.pdf

太会论文 ·43· 采用自动化分析工具实现安全编码 周国勇 上海创景计算机系统有限公司 摘要：随着互联网应用的普厦，网络安垒日益成为大家关注的重点；在提高系统安全性方 面除了使用防火墙，杀毒软件以厦数据加密等技术手段外，如何提高应用软件本身 的安全性也越来越受到大家的重视。本文从软件开发的角度介绍如何能够开发出高 安全性的软件。 关键词：网络 软件开发 自动化分析工具安全编码 一、引言 二、开发安全产品面临的困难和解决办法 当今互联网的高速发展使得网络安全已经成为 首先给出两个定义： 人们日益关注的一个问题。由于网络完全问题带来 安全的产品：是指能够保护用户数据的机密性、完 的各种损失的案例也比比皆是。 整性和有效性，能够保护处理资源的完整性和有效性， 同时随着互联网重要性的增长，应用程序也呈 并时刻处于系统所有者或者管理员控制之下的产品。 现高度互联的趋势。因此整个网络的安全很大程度 安全漏洞：是指一种缺陷，即使正确使用产品，这 上取决于这些参与网络互联的应用软件。在网络不 种缺陷也将导致产品不能有效阻止攻击者篡夺用户 发达的时候，如果应用程序不安全，那么情况也不会 系统上的特权、控制其操作、危及该系统上的数据，或 很坏，最多就是应用程序的使用者自己攻击自己；而 者使得系统接受非授权信任。 随着现在网络的发展，几乎所有的应用程序都参与 开发安全的产品困难吗?答案是肯定的，为什么 到互联当中来，这就意味着所有的计算机都有可能 呢?仅从攻击者的优势和防御者的劣势就可以看出： 受到攻击。 1．防御者必须对所有的环节都进行防御，而攻 Inerner在给大家带来便利的同时，从另一个角击者可以选择最薄弱的环节； 度它也是一个充满了敌意的环境；有人曾做过实验， 2．防御者只能针对已知的攻击进行防御，而攻 将一台服务器挂在互联网上，在短短几个小时的时 击者可以探测未知的漏洞； 间内，该机器就被不断探测，并被IP层的攻击所淹 3．防御者必须永远保持警惕，而攻击者却可以 没! 随意“罢工”； 在这样的网络环境中，对于我们传统的应用程 4．防御者的活动必须遵循相应的规则，而攻击 序就提出了新的挑战。以前我们只关心程序的功能 者则可以采用几乎所有能找到的手段。 是否被满足，而不关心应用程序的安全性；显然基于 因此，要开发出尽可能安全的产品，必须要采取 这种方式开发出的应用程序是很难适应现在的网络 全面的主动的安全开发过程；该过程涉及到整个软件 环境对于安全性的要求的。现在的应用程序应该在 开发过程： 满足功能性需求的同时充分考虑程序的安全性。 1．设计阶段； ·44· 第二十一次全国计算机安奎学术交流会论文 2．开发阶段； 以上)： 3．测试阶段； (5)与登陆相关的错误提示信息包含太多关于应 4．发行和维护阶段。 用程序如何使用用户ID和密码的信息，例如应用程 在这个过程中，要强调对于开发团队人员的安全 序单独的返回“错误的用户名”或者“错误的密码”会 教育；相对来说改变开发过程来创建安全的软件比改 给攻击者提供帮助