Những điều căn bản về
bảo mật phần mềm cho
quản lý lập trình phần
mềm
Quản Trị Mạng - Có ít đi những lổ hổng bảo mật đồng nghĩa
với việc chất lượng của phần mềm tốt hơn và giá thành giảm
đi. Merkow và Raghavan đã cung cấp những hướng dẫn
chuyên môn trong việc xây dựng và quản lý một phần mềm
bảo mật đáp ứng được những tiêu chí trên.
Nếu chúng ta không học được bất kì một điều gì từ hơn 60 năm
phát triển phần mềm với độ bảo mật của nó, sẽ không ngẫu
nhiên có code chất lượng cao. Chính phủ các quốc gia đều biết
được chất lượng và bảo mật cần phải được xác định chính xác,
được thiết kế và triển khai từng bước trong suốt chu trình phát
triển phần mềm (SDLC - Software Development Life - Cycle).
Các chính phủ luôn chắc chắn trong việc chỉ cho phép những
phần mềm có khả năng mới được sử dụng để bảo vệ bí mật
quốc gia. Tuy nhiên, quan điểm này không bao giờ được tiết lộ
với thế giới thương mại và điều chúng ta thiếu ngày nay là nghi
vấn về độ tin cậy của một nhóm ứng dụng.
Vì vậy, bài báo này sẽ nhấn mạnh về các vấn đề và cung cấp các
giải pháp nhằm giúp bạn tránh được lặp lại các lỗi lầm gây ra
các phần mềm và hệ thống không bảo mật và không đáng tin
cậy. Chúng ta sẽ đề cập tới mong muốn của mọi người khi họ
có một phần mềm và điều thực sự họ nhận được là gì, lý do gây
ra những lỗ hổng, và khi bạn là một người quản lý, bạn có thể
làm gì để nâng cấp những thói quen phát triển phần mềm của
công ty mình cũng như đánh giá sự tiến bộ thành công của bạn.
Người dùng mong chờ điều gì ở phần mềm?
Phần mềm thực sự tiện ích với những gì chúng có thể làm được.
Mọi người mua phần mềm bởi nó có thể đáp ứng được nhu cầu
của họ nhằm thực hiện một số chức năng. Những chức năng này
(hoặc tính năng) có thể đơn giản như cho phép người dùng viết
một bức thư hoặc có thể phức tạp như tính toán lượng tiêu tốn
xăng của chặng đường một chiếc tên lửa sắp được phóng lên
mặt trăng.
Người dùng cũng (sai lầm) hay cho rằng phần mềm họ mua
được viết với code có chất lượng. Khi bạn mua một gói phần
mềm, bạn thường thừa nhận chúng sẽ hoạt động giống như
những gì đã được quảng cáo và bạn cũng sẽ không nghĩ về việc
chương trình này sẽ thực hiện công việc của nó tốt như thế nào.
Sự thật đáng buồn là hầu hết phần mềm vẫn có những sai sót và
những sai sót này có thể đe dọa ảnh hưởng tới độ bảo mật và an
toàn của bất kì một hệ thống nào chúng đang hoạt động trên.
Những sai sót này không chỉ xuất hiện trên chiếc máy tính
chúng ta sử dụng hàng ngày, mà còn có mặt ở những thiết bị
khác, ví như điện thoại di động và các thiết bị y tế và những
dịch vụ khác như ngân hàng và tài chính, năng lượng, và viễn
thông.
Các nhà lập trình được dạy để viết code – họ không được dạy
cách viết code tốt.
Các tổ chức khuyến khích các nhà lập trình viết nhiều code, hơn
là vì code tốt trong bối cảnh code giá rẻ và code được phát triển
nhanh chóng đang thống trị thị trường.
Đặc biệt, các ứng dụng Web rất dễ có khả năng bị hỏng với một
số loại lỗ hổng (ví dụ Cross Site Scripting (XSS)) trừ phi nhà