NSA ajuda a identificar erros de programação mais perigosos

Um grupo de mais de 30 organizações de computadores adotou o que alguns estão chamando de grande passo para tornar o software mais seguro.

Liderados por especialistas da Agência de Segurança Nacional dos EUA, o Departamento de Segurança Interna, Microsoft e Symantec, o grupo planeja publicar na segunda-feira uma planta delineando os erros de programação de software mais perigosos.

A lista representa a primeira vez que a indústria chegou a um consenso sobre as piores coisas que podem acontecer quando o software está sendo escrito.

: Como remover malware do seu PC Windows]

"A lista dos 25 melhores oferece aos desenvolvedores um conjunto mínimo de erros de codificação que devem ser erradicados antes que o software seja usado pelos clientes", disse Chris Wysopal, diretor de tecnologia da Ve. Mais do que apenas uma lista, no entanto, o documento poderia ser usado como uma ferramenta de negociação entre compradores e fornecedores de software, disse Alan Paller, diretor de pesquisa do Instituto SANS, um grupo de treinamento de segurança que liderou o trabalho.

Na verdade, o estado de Nova York está agora desenvolvendo documentos de aquisições que poderiam ser usados ​​por agências estatais para que seus fornecedores certifiquem que seu código não contém nenhum desses erros de programação. Em última análise, isso fará com que o fornecedor, e não o estado, seja responsável quando o software defeituoso levar a um problema de segurança, disse Paller. "Quando o software é considerado defeituoso … toda a responsabilidade econômica muda para eles."

Paller espera que esse tipo de certificação, praticamente desconhecida hoje, se torne mais comum agora que uma parte tão grande da indústria concordou com isso. em quais erros de programação são mais perigosos. Mas ele espera que seja usado em grandes contratos de codificação customizada, e não nos contratos de licenciamento de software usados ​​para softwares amplamente distribuídos, como o Microsoft Windows. As falhas incluem coisas como permitir ataques de SQL injection ou cross-site scripting. envio de informações confidenciais em texto não criptografado, que pode ser facilmente lido, e codificar senhas de segurança em programas, onde eles são difíceis de alterar, se descobertos. A lista de erros está definida para ser postada aqui.

Dois desses bugs levaram a mais de 1,5 milhão de violações de sites no ano passado, disse a SANS. E isso foi apenas o começo: muitas vezes, essas violações da Web eram usadas por invasores on-line para depois lançar mais ataques contra as pessoas que navegavam nos sites invadidos.