`

程序员需要谨记的九大安全编码规则

 
阅读更多

历史已经证明,软件设计的缺陷一直是导致其漏洞被利用的最主要的罪魁祸首。安全专家发现,多数漏洞源自常见软件中相对有限的一些漏洞。软件开发者和设计者应当严格检查程序中的各种错误,尽量在软件部署之前就减少或清除其中的漏洞。 

下面列举的这些方法会有助于开发人员提高编码的安全性: 

一、注意编译器警告 

程序员应当使用编译器的最高警告等级。在编译过程中,应当修改程序中的错误,直到警告解除。应当使用静态和动态的分析工具来检测和清除安全缺陷。 

二、根据安全策略设置软件架构 

设计者应创建一个软件架构,并在设计软件的过程中实施和强化安全策略。例如,如果你的系统在不同的时间要求不同的特权,就不妨考虑将系统分解成能够互联通信的不同的子系统,每一个系统都有自己适当的特权。这种“分而治之”的方法可以有效地提高应用程序的安全性。 

三、验证输入 

程序设计者在设计程序时必须验证来自所有不可信数据源的输入。适当的输入验证可以清除多数软件漏洞。在设计程序时,必须对多数外部的数据源抱着怀疑的态度,其中包括命令行参数、网络接口、环境变量、用户控制的文件等。 

四、保持程序简单 

设计者要尽量使程序短小精悍。复杂的设计会增加实施、配置、使用过程中出现错误的可能性。程序越复杂,就需要越多的复杂的安全控制,企业需要付出的努力也就会越多。 

五、拒绝默认访问 

访问决策的制定应当根据许可权限而不是根据其它的任何方面。这意味着,默认情况下,应当拒绝访问,程序的保护机制应当根据“允许谁访问”来确认访问条件。 

六、遵循最小特权原则 

程序的每个处理过程在执行时,都应当仅使用为完成其工作而需要的最小特权。任何提升的许可权限都要尽量持续最短的时间。这种方法可以减少攻击者用提升的特权执行任意代码的可能性。 

七、“净化”传送给其它系统的数据 

所谓“净化”是指从用户输入的数据中清除恶意数据,如清除用户提交表单时的恶意的或错误的字符。 

程序设计者必须对传送到复杂的子系统(如命令外壳、关系型数据库、购买的商业软件组件)的所有数据进行“净化”。攻击者有可能通过使用SQL注入命令或其它注入攻击来调用这些组件中没有被使用的功能。这未必是输入验证问题,因为被调用的复杂的子系统并不理解调用过程中的前后关系。由于调用程序理解前后关系,所以我们要在调用子系统之前对数据进行“净化”。 

八、实施深度防御 

程序设计必须能够利用多种防御策略来管理风险。只有这样,才能在一层防御不够用或失效时,另外一层防御可以防止将安全设计上的缺陷变成可被利用的漏洞,从而可以限制攻击者利用漏洞的后果。例如,将安全编程技术与安全运行环境结合起来,可以减少在部署阶段残存在代码中的漏洞被攻击者在操作环境中利用的可能性。

九、使用有效的质量保证技术 

良好的质量保证技术可以有效地确认和清除漏洞。模糊测试、渗透测试、源代码审计等都可以结合起来使用,以此作为一个有效的质量保证项目的一部分。独立的安全检查可以使系统更安全。有资质的外部审查人员可以提供独立的观点,例如,外部人员有助于确认和纠正一些错误的设想。 

当然,为保证代码的安全,企业应当为开发语言和平台制定并实施一套健全的编码标准。 

分享到:
评论

相关推荐

    编码规范,程序员

    下面将详细讨论编码规范的重要性和一些常见规则。 1. 代码格式化:保持代码整洁是编码规范的基本要求。这包括正确的缩进、空格使用以及换行。例如,通常推荐使用4个空格代替制表符进行缩进,以确保不同环境下代码...

    程序员项目交接文档

    在整个程序员项目交接文档中,程序员需要对每个模块的数据结构和关系进行详细的记录,并且需要对每个模块的执行流程进行详细的说明。此外,程序员还需要对每个模块的功能进行详细的记录,并且需要对每个模块的实现...

    编码规范 程序员的基本素质

    编程是一项需要严谨和精确的工作,编码规范是程序员的基本素质之一,它不仅关乎代码的质量,也影响着团队协作的效率和项目的可维护性。华为作为全球知名的科技企业,其编码规范在业界具有一定的权威性和影响力。这份...

    网络安全之安全编码.docx

    安全编码 安全编码(secure coding)含义: 网络安全之安全编码全文共2页,当前为第1页。安全编码旨在避免容易预防的编码缺陷,这些缺陷会造成安全风险。对软件漏洞的研究表明,大量的漏洞利用都源于—小群常见的...

    天天个人助理(程序员笔记记录工具)

    并且,这款工具让程序员能够更专注于编码本身,而不必担心日后的知识检索问题。无论是复杂的逻辑算法,还是细微的bug修复,只要在"天天个人助理"上有所记录,便能迅速回溯,提高了解决问题的效率。 "我的文档.pim...

    JAVA程序员编码规范

     编码规范可以改善软件的可读性,可以让程序员尽快而彻底地理解新的代码 。 如果你将源码作为产品发布,就需要确任它是否被很好的打包并且清晰无误,一如你已构建的其它任何产品 。 为了执行规范,每个软件开发...

    修炼网络安全程序员必读清单

    作为安全方面的程序员,需要看的必备书籍有哪些?

    java程序员的日记

    是一位台湾程序员写的,很实在.不是技术书,大家可以休闲时看看

    java编码规范 java程序员必备

    编码规范对程序员而言尤为重要,有以下几个原因: 一个软件的生命周期中80%花在维护上,几乎没有一个软件在其整个生命周期中,均由最初的开发人员来维护。编码规范可以改善软件的可读性,可以让程序员尽快而且彻底的...

    程序员七夕告白源码

    精美的网页加上动听的音乐效果是程序员七夕告白的绝佳神器。里面包含了十三个源代码。第一个是计算你和另一半在一起的时间。只需要改动源码里面的起始时间就可以实现你想要的结果。怎么改动起始时间和怎么将音乐改成...

    C安全编码标准.pdf

    C的安全编码要比许多经验丰富的程序员所想像的更为困难。 《C安全编码标准》是一本重要的桌面参考手册,记录了《CERT C安全编码标准》的第一次官方发布。这个标准逐项描述了C语言程序中导致软件潜在风险根源的编码...

    程序员需要阅读的书籍

    各个的程序员需要阅读的书籍。

    程序员记笔记的小工具

    【程序员记笔记的小工具】是一款专为程序员设计的高效笔记应用,它允许用户利用Markdown语法进行文本编辑,方便快捷地创建、管理和分享技术文档。这款工具不仅提供了对Markdown的全面支持,还具备将笔记导出为PDF和...

    程序员的酸甜苦辣 程序员的酸甜苦辣

    IT行业日新月异,新技术层出不穷,程序员需要不断学习以适应这种变化。新技术的快速迭代就像一道辛辣的菜品,刺激着他们保持敏锐的洞察力和学习能力。如果跟不上时代的步伐,就可能被淘汰,这种紧迫感时刻提醒着他们...

    程序员专用 编程输入法

    标题中的“程序员专用编程输入法”指的是专门为程序员设计的特殊输入法工具,旨在提升编码效率。这类输入法通常具有以下特点: 1. **快捷代码输入**:程序员输入法能够通过快捷键、组合键或者自定义短语来快速输入...

    程序员的思维修炼 开发认知潜能的九堂课.pdf

    根据提供的文件信息,文档标题为《程序员的思维修炼 开发认知潜能的九堂课》。这标题暗示了该文档是一系列课程或指导,目的是帮助程序员提升他们的思维能力,以及开发和增强他们的认知潜能。认知潜能指的是个体在...

    光棍节程序员闯关秀_第九关解密内容

    第九关的解密内容是这次挑战的关键环节,意味着参赛者需要通过编码、解码或破解某种加密方式来解开谜题。从标签“01 Base64”来看,我们可以推测此关可能涉及到Base64编码技术。 Base64是一种基于64个可打印字符来...

    java程序员实习日记.pdf

    java程序员实习日记.pdfjava程序员实习日记.pdfjava程序员实习日记.pdfjava程序员实习日记.pdfjava程序员实习日记.pdfjava程序员实习日记.pdfjava程序员实习日记.pdfjava程序员实习日记.pdfjava程序员实习日记.pdf

    什么样的人适合做程序员?程序员应该具有什么样的素质程序员四大禁忌

    总之,成为一名优秀的程序员,不仅需要具备耐心、毅力、细心和勇于挑战的品质,还需要保持谦逊、热情和自我反省的态度,同时避免轻易放弃、浮躁自满、消极被动和推卸责任等行为。通过这样的自我修养和努力,才能在IT...

Global site tag (gtag.js) - Google Analytics