カテゴリー: Development

7PK – セキュリティソフトウェア ≠ ソフトウェアセキュリティ

投稿者作成者: yohgaki
投稿日 2019/01/21

CWE-700としても知られる7PK（7つの悪質な領域／王国）のIEEE Explorerの論文解説では、「セキュリティ機能（Security features）」はソフトウェアセキュリティではない、としています。

Software security isn’t security software. All the magic crypto fairy dust in the world won’t make your code secure, but it’s also true that you can drop the ball when it comes to essential security features.
ソフトウェアセキュリティはセキュリティソフトウェアではない。全ての魔法のような暗号などはあなたのソフトウェアを魔法の様に安全にはしない、不可欠なセキュリティ機能の場合では削除／省略することが不可能であることは事実だが。

暗号を例に「HTTPSがソフトウェアをセキュアにはしない」としています。これは暗号だけには留まりません。

※ 7PKとはソフトウェアセキュリティ全体を包括する7つの脆弱性分類を定義する論文です。実際には7つの領域＋1つ（環境）を定義しています。

タグ 7PK, セキュアコーディング概念, セキュリティ標準

Development PHP Security Programming Secure Coding

コードの共通化を原則とするのはアンチプラクティス〜現代のプログラミング原則

投稿者作成者: yohgaki
投稿日 2019/01/11

同じ処理を行うコードの共通化は、基本的には、ベストプラクティスです。しかし、アンチプラクティスとなる場合もあります。

タグセキュアコーディング, セキュアコーディング論理

Development PHP Security Programming Secure Coding

開発者必修の7PKとは？

投稿者作成者: yohgaki
投稿日 2019/01/07

7PKという用語を聞いた事がある開発者も多いと思います。7PKは業界標準のソフトウェアセキュリティ分類です。まだの方はこれを機会に是非覚えてください。CERT Top 10 Secure Coding Practicesと同じく開発者全員に必修の用語と概念と言えます。何故なら、CERT Top 10 Secure Coding Practicesも7PKも知らないのならISO 27000(ISMS)、NIST SP800-171に対応するアプリケーションは作れないからです。

※ 7PKやCERTセキュアコーディング原則を知らなくても、セキュアなソフトウェアを作ることも可能かも知れません。しかし、それはかなり遠回りになるでしょう。

タグ 7PK, セキュアコーディング論理, セキュリティ標準, 入力バリデーション

Development PHP Security Programming Secure Coding

MITREがCWEを大幅更新〜セキュアコーディング対応を強化〜

投稿者作成者: yohgaki
投稿日 2019/01/06

CWEはセキュアなソフトウェア開発を行う開発者にとっては欠かせない情報源です。2019年1月3日にCWE (Common Weakness Enumeration – 共通脆弱性タイプ） 3.2が公開されました。大幅更新と言える内容になっています。

この更新を一言で言うと「セキュアコーディング対応の強化」でしょう。

タグセキュアコーディング技術, セキュアコーディング論理, セキュリティ標準, 入力バリデーション, 未検証入力

Computer Development PHP Security Programming Secure Coding

IPAの「安全なウェブサイトの作り方」は安全な作り方のガイドではない

投稿者作成者: yohgaki
投稿日 2018/12/25

IPAは「安全なウェブサイトの作り方」とする資料を長年公開しています。しかし、これが、重大な誤りにより、全く安全ではないWebサイトの作り方なっています。

重大な誤りとは以下です。

CWE-20 – 出鱈目なデータを排除する検証（入力バリデーション）について一切記載がない

コンピューターサイエンス／システムエンジニアリングの観点から考える情報セキュリティはISO 27000で標準としてまとめられています。GDPRなどの法制度やNIST SP800-171の義務化などISO 27000の重要性は高まるばかりです。ISO 27000は2000年から、入力バリデーションだけは具体的な対策を記述し、セキュアコーディング／セキュアプログラミングの導入を要求しています。

ISO 27000の基礎的要求事項を無視したセキュリティ対策で情報漏洩問題などが発生した場合、契約で定めた上限以上の損害賠償を課されるリスクが高くなります。法的な意味からも現在のIPAの「安全なWebサイトの作り方」は危険であると言えます。

※ 開発者が「入力バリデーションはしている」と思っている場合でも、穴だらけで脆弱／非効率で問題あり、である場合がほとんどです。MVCモデルのモデルでバリデーションしている！といった場合、ほぼ100％不十分なバリデーションしかしていません。そんなドイツ人開発者と議論した事もあります。