Az szoftverek biztonsagarul

A sorrendet tessek megerteni: elobb van a dizajn, aztan a kod.

Azt is tisztazzuk, mit ertunk flowcharton: az en flowchartjaim tartalmazzak minden egyes muvelet be es kimeno adatait, tehat 3 oszlopod van kb.

| input adattipusok | program flow | output adattipusok |

ez amugy egy bevett technika aktivitasdiagrammoknal, bar ez "sima" flowchart.

Buffer overflow emlekeim szerint akkor van, ha varsz valamennyi inputot egy adott memoriateruletre, de nem annyiban maximalizalod az olvasast, a tipusrendszert meg megkerulod pointerezessel. Ezaltal atfolyhat az adatod egy masik memoriateruletre, elobb-utobb talan sikerul - mivel Neumann-architektura - futtatando kodot is atirnia a tamodonak, nem "csak" adatot.

Amikor igy latod a cuccot, es ez egeszen szepen vegig van vezetve a user interview-ktol, mindig, lepesrol lepesre konkretizalva, akkor meg tudod mondani, hogy az ott mekkora lesz. Vagy megbizhato API-t hasznalsz, vagy nem olvasol tul.

Ennek az elsodleges celja, hogy mire odaersz hogy begepeld a kodot, ne legyenek "varazsadataid": ne legyen olyan, hogy nem tudod mit, honnan szedj, ne kelljen ugy castolnod, hogy nem szamitottal ra, mert papiron meg siman megnezed ilyenkor hogy osszeegyeztetheto-e a ket tipus, de gepeleskor mar annyi minden zaj van...

Engem meg arra neveltek, meg elsos egyetemistakent a BME elott a SZE-n, hogy szepen felirod elotte hogy mik a bemeneti adataid, hany bajtosak, mik a kimeneti adataid, hany bajtosak. Lepesenkent.

Sot, ha at akartal menni a vizsgan, egy bittel nem foglalhattal tobbet mint kene, az beszorozta a pontjaidat 0-val.

Szoval a konkretum: akkor is, ha nem fuggvenyparameter, hanem beolvasott tipus (sot, fokent akkor!), a tipust felirom, es mivel tudatos a tipus hossz megvalasztasa (az altal valik tudatossa, hogy sajat kezemmel irtam le, papirra, motorikus memoria), a rendszer lehet szo nelkul felbevag egy tulmeretezett inputot (bar erre jobban figyelek), de nem enged BOF-t. Minden beolvasott adatot tipusellenorzok (pont azert, mert a compiler ezeknel nem teszi, pedig a papiromon ott a tipus) es visszaellenorzom begepeles utan a papirt, igy azt gondolom, javits ki,ha ezek utan is tevednek, hogy elkerulom a buffer overflow-t.

Macera, papirmelo. Ha jol emlekszem, multkor egy 2000 soros kodhoz vagy 200 A4-es lapot szedtem ossze a vegere. Raketabiztos a cucc amugy, igaz, sokkal prozaibb oka van annak, hogy nem lehet torni.

Statikus, offline kodanalizis. Nem lehet nagyon felskalazni, mondjak, de egy 2 millio soros kodrol nem is azt akarod tudni, mint egy 200 sorosrol. En kinyomtattam egyszer egy 3000 soros kodot refaktor elott es egy hetig ceruzaval jelolgettem rajt az elemeket (meg forditottam olaszrol a valtozoneveket). Utana egy ulto helyembe refactoroltam. (ilyen nagysagrendben mar van automata teszteles is, igaz, egyszeruen "felvettem" az eredeti rendszer bemeneteit es kimeneteit, majd ellenoriztem, hogy az uj rendszer ugyanugy viselkedik-e minden bemenetre. Ezutan a ket rendszer egy ideig egyutt futott, es csak akkor engedtek at hibajelzes nelkul valamit, ha egyetertettek.)

Lassu, konzervativ. Senki nem panaszkodott meg, hogy lassabb lennek mint a tobbiek, ez varhatoan azert van, mert az atlagidom feleannyi.... Igaz, annak tobbseget egy papirlap felett gornyedve toltom, ha nekem kell kodot irnom.

Akkor szokott felcsendulni a hisztihimnusz amikor probalom finoman emlegetni, hogy lehetne am igy is, vagy amikor megkerdezi valami managger, hogy "mi lenne, ha most a papiros bohockodast kihagynad", amire az a valaszom, "semmi, ahhoz masik programozo kell, ha gondolod, rugj ki vagy add at a taszkot, velem ez a modszer es ennyi ido lesz". Az is fele mint amit mastol kap, ezt o is tudja.

A legutobbi kodomrol:

Az egy demonstracios kod volt, pont neked, meg talan gtalkon is atkuldtem, hogy nezz ra. Hadovaltatok a kommentekben osszevissza dolgokat, senki nem ertett belole semmit, mert csak felszavas menozesekre futotta, hat ugye aki csak beszel vegfelhasznaloi rendszerekrol az igy szokta. Konkretum lof.sz se, mert aki auditalja az nem irja.

Csinaltam a szovegetek alapjan egy naiv implementaciot, ugylatszik ez nem volt eleg vilagos. Egy dologban voltam haklis, hogy mindenkeppen nyujtani akartatok az idot 1 mp fole, mert ez biztonsagilag biztos marha jo, csak sajna 200-250 msec alapjan kell valaszolnia valaminek ahhoz, hogy ne erezze a user hogy akad a rendszer. Ez hard limit, hacsak nem adsz minden usernek egy spanglit, hogy feleolyan lassan verjen a szivuk, mer' akkor jo lesz fel masodperc is. Egy jelszoellenorzo rendszer vegen sajna altalaban szenizotop-alapu processzor van, a sziliciumosnal inkabb certek mennek.

Utana voltal szives es benyogted, hogy a bcrypt nevu libet / algoritmust kell hasznalni oszt szevasz. A masik srac pedig nem birt elolvasni egy 200 soros implementaciot a pbkdf_v2 -re, ami raadasul a google elso talalata, hogy az jo-e. Ebbol en azt kovetkeztettem, hogy bemagolta mint hogy Afrika legnagyobb folyoja a Nilus, hogy jelszotitkositasra pbkdf_v2-t kell hasznalni.

Tudod, azt gondolom, az a szakerto, aki nem tud konkret peldakoddal eloallni egy szakteruleti problema eseten, az nem eleg jo. Fuggetlenul attol, mennyire erted a szakteruletet: ha barki nekem azt mondja a sajat szakteruletemre, hogy "csinald jobban bazdmeg", elkerem a kontextust, leulok, es megcsinalom. Volt mar, hogy az enyem se lett jobb (pont ugyanaz jott ki), akkor elnezest kertem.

Az, hogy ti mennyit tudtok a biztonsagrol, az csak kontextusban derul ki. A kontextus pedig hus-ver emberek altal hasznalt rendszer, akinek a jelszava vagy Cica, vagy fel van irva mert nem birja megjegyezni, aki elkeveri a token-t, es akinek az OTP-rol a bank jut az eszebe.

Itt a kontextus meg az a rendszer, ami ezeknek az embereknek keszul, olyan emberek altal, akik nem ezzel foglalkoznak. En szoftvertervezessel foglalkozom. Lehet hogy nem tetszik neked, lehet hogy feleslegesnek erzed (a programozok is), de ha odaultetnek, hogy tervezzek meg egy aktualis programot, megtervezem. Hogy jo-e, nem jo, ez egy masik kerdes.

Egeszen addig, amig ilyen szintu doksik nem kerulnek ki - publicba - a kezetek kozul, es csak sejtelmesen hummogtok, addig nem derul igazabol ki, hogy ez most egy script kiddie szelhamossaga-e, vagy verprofie. Lehet hogy penzert osszeszeded magad es megteszed, nem erdekel. Itt nem tetted se az elozo beszolasoddal, se az idezett postnal.

Szoval ennyit az ovatos beszologatasokbol.

(A tobbiektol elnezest, ez blogrovat.)

De ha perelnek, ahhoz kell birosag, erted, nem forumposztok alapjan fog valaki karteriteni / bortonben ulni.

(A sybase nem kerdezi meg, milyen jelszot akarsz, o csak beallitja az sa-t ures jelszoval, oszt majd megvaltoztatod ha akarod)

Szoval: hol a hatar? Hol tartunk karban egy listat arrol, hogy mi az, ami meg a te hibad, amit tudnod kell, es mi az, amiert mar nem perelhetnek be?

Mert azt gondolom te se gondolod komolyan, hogy pwnie gyoztes chrome-hekkelesekert borton jar.

Tenyleg nem ertem, mi bajotok, tan ne szurjuk ki a script tageket es hasonlokat?:)