Why do programmers write insecure code...
7 отговора
496 прегледа
Why do programmers write insecure code...
Cheta w momenta [линк]
i oshte w nachaloto zabeljazah slednoto, i reshih da go postna:
-----------------------------------------------
2.3. Why do Programmers Write Insecure Code?
Many programmers don't intend to write insecure code - but do anyway. Here are a number of purported reasons for this. Most of these were collected and summarized by Aleph One on Bugtraq (in a posting on December 17, 1998):
* There is no curriculum that addresses computer security in most schools. Even when there is a computer security curriculum, they often don't discuss how to write secure programs as a whole. Many such curriculum only study certain areas such as cryptography or protocols. These are important, but they often fail to discuss common real-world issues such as buffer overflows, string formatting, and input checking. I believe this is one of the most important problems; even those programmers who go through colleges and universities are very unlikely to learn how to write secure programs, yet we depend on those very people to write secure programs.
* Programming books/classes do not teach secure/safe programming techniques. Indeed, until recently there were no books on how to write secure programs at all (this book is one of those few).
(... i drugi ...)
----------------------------------
Dali e taka wse oshte w uchilishtata?
tirulirutatuutuu
i oshte w nachaloto zabeljazah slednoto, i reshih da go postna:
-----------------------------------------------
2.3. Why do Programmers Write Insecure Code?
Many programmers don't intend to write insecure code - but do anyway. Here are a number of purported reasons for this. Most of these were collected and summarized by Aleph One on Bugtraq (in a posting on December 17, 1998):
* There is no curriculum that addresses computer security in most schools. Even when there is a computer security curriculum, they often don't discuss how to write secure programs as a whole. Many such curriculum only study certain areas such as cryptography or protocols. These are important, but they often fail to discuss common real-world issues such as buffer overflows, string formatting, and input checking. I believe this is one of the most important problems; even those programmers who go through colleges and universities are very unlikely to learn how to write secure programs, yet we depend on those very people to write secure programs.
* Programming books/classes do not teach secure/safe programming techniques. Indeed, until recently there were no books on how to write secure programs at all (this book is one of those few).
(... i drugi ...)
----------------------------------
Dali e taka wse oshte w uchilishtata?
tirulirutatuutuu
Re: Why do programmers write insecure code...
Ami az poizliazoh weche ot uchilistata, no dokolkoto imah nablugedia - taka e.
Kato se zapochne ot "...propuskame izlishnite prowerki, za da stane po-chetliw code-a i da e iasna osnownata tzel...." i "..ama wie da ne zabrawite da si naprawite prowerka za overflow, stoto e izkluchitelno wagno" i taka se i kara... :)
Ama niama nisto chak tolkowa strashno de - kazwat che zor-a e naj-dobria uchitel :)
Kato se zapochne ot "...propuskame izlishnite prowerki, za da stane po-chetliw code-a i da e iasna osnownata tzel...." i "..ama wie da ne zabrawite da si naprawite prowerka za overflow, stoto e izkluchitelno wagno" i taka se i kara... :)
Ama niama nisto chak tolkowa strashno de - kazwat che zor-a e naj-dobria uchitel :)
Re: Why do programmers write insecure code...
Интересното е, че колеги завършили в Русия разправят, че там са ги карали да пишат проверки от сорта на:
if ( а != а ) ......
Като се сетя у нас каква трагедия вече е образованието, мъка ми е.
---
In God we Trust (all others must submit a X.509 certificate)
if ( а != а ) ......
Като се сетя у нас каква трагедия вече е образованието, мъка ми е.
---
In God we Trust (all others must submit a X.509 certificate)
Re: Why do programmers write insecure code...
Тук в ФМИ - какъв ти secure code, ние по графика писахме a+a, вместо 2*а щото 'било по-бързо'... А тези неща трябва да се преподават от хора дето са писали софтуер и софтуер все пак.
Лично на мен никога не ми се е налагало да пиша secure code в тоя смисъл, виж за дебъгваем по интересно звучи. Ето преди малко четох на SWENG-a как хората дебъгвали на PS2 като сетвали цвета на бекграунда, а един се оплака от най-гадния бъг който е имал - FPU пипал памет, което не тригервало брекпоинтите на процессора и един Господ знае само как го хванали този бъг...
The ones who live by the sword get shot by the ones who don't.
Лично на мен никога не ми се е налагало да пиша secure code в тоя смисъл, виж за дебъгваем по интересно звучи. Ето преди малко четох на SWENG-a как хората дебъгвали на PS2 като сетвали цвета на бекграунда, а един се оплака от най-гадния бъг който е имал - FPU пипал памет, което не тригервало брекпоинтите на процессора и един Господ знае само как го хванали този бъг...
The ones who live by the sword get shot by the ones who don't.
Re: Why do programmers write insecure code...
То не е само това.
Има и доста други неща, като примерно:
Код, който не отговаря на никакви конвенции.
Код, който се пише без план (без идея за къв ни е). След това се преправя 2-3 пъти или се изхвърля.
Код, който не е ефективен и ако човек почне да го оптимизира може да намали използването на паметта над 10 пъти и бързодействието над 20 пъти.
Примери мога да дам една камара. Нагледал съм се на всякакви бисери.
Проблемът е в знанията на авторите.
Колкото и да им обясняваш винаги имат готов отговор, като примерно:
1. Ех, една грешка, карай сега.
2. Ама то идеята на Java не е да пишеш ефективен код. То квото и да напишеш все ще е бавно.
3. Ама аз не разбирам от това и затова го направих тука/така.
4. Ама аз не разбирам много от това, ама според мен така е най-добре.
5. Баси мамата не стига, че пиша код ами и коментари да слагам.
5. Баси мамата в Америка един програмист взема 5000 долара аз тука вземам 500 долара и това дето правя пак му е много на шефа ми.
Има и доста други неща, като примерно:
Код, който не отговаря на никакви конвенции.
Код, който се пише без план (без идея за къв ни е). След това се преправя 2-3 пъти или се изхвърля.
Код, който не е ефективен и ако човек почне да го оптимизира може да намали използването на паметта над 10 пъти и бързодействието над 20 пъти.
Примери мога да дам една камара. Нагледал съм се на всякакви бисери.
Проблемът е в знанията на авторите.
Колкото и да им обясняваш винаги имат готов отговор, като примерно:
1. Ех, една грешка, карай сега.
2. Ама то идеята на Java не е да пишеш ефективен код. То квото и да напишеш все ще е бавно.
3. Ама аз не разбирам от това и затова го направих тука/така.
4. Ама аз не разбирам много от това, ама според мен така е най-добре.
5. Баси мамата не стига, че пиша код ами и коментари да слагам.
5. Баси мамата в Америка един програмист взема 5000 долара аз тука вземам 500 долара и това дето правя пак му е много на шефа ми.
Re: Why do programmers write insecure code...
basi mamata, pisaneto na kod bez spazvane na konvencii i bez plan se dalzi glavno na tupite menageri deto sled 2 sedmici kazvat 4e vsasnost ne iskali tova koeto e napraveno a nesto savsem drugo i se po4va otna4alo.. pone pri nas, kudeto ba4kam.. managera - tva e nai golemia bi4 za programista.