Ich arbeite an einem Projekt, das als SDL-Projekt (Security Development Lifecycle) bei Microsoft bekannt ist ( Ссылка ) - kurz gesagt, es ist ein Satz von Praktiken, die von Produktgruppen verwendet werden müssen, bevor sie Produkte liefern, um die Sicherheit zu verbessern.
In den letzten Jahren haben wir eine Menge SDL-Dokumentationen veröffentlicht, da Kunden nach mehr Informationen über unsere Aktivitäten fragen.
Aber was ich gerne wissen würde ist:
Danke.
Ehrlich gesagt, Lesen Ihr Buch war ein guter Anfang. :-)
Beantworten Sie Ihre Fragen:
Crypto ist ein Hobby von mir, über das ich manchmal blogge (zB auf Code-Reviews , in denen Personen, die in Sicherheitsfragen gut sind, als erforderlich gekennzeichnet sind.
Abgesehen von einem Kurs vor Ort und dem Kauf des Code-Review-Tools, erfordert keines von diesen Management-Genehmigung.
Ich bin ein Indie-Mac-Entwickler, aber auch ein Plattform-Sicherheitsevangelist: Ich bin der Autor von Pro Cocoa Application Security, die von Wrox veröffentlicht wurde. In diesem Buch mache ich mich für die sichere Dev-Technik stark, die ich selbst benutze: Sie basiert auf dem Swiderski und Snyder-Bedrohungsmodell, aber mit zwei Änderungen. Ich mache es leichter, indem ich überlege, welche Einstiegspunkte auf welche Assets zugreifen, ohne DFDs zu verwenden. Ich konzentriere mich auch mehr auf die Identifizierung von Benutzern und Missbrauchsanwendern, was meiner Ansicht nach eine bessere Anwendbarkeit für Schrumpfverpackungssoftware bietet.
Was die Werkzeugunterstützung betrifft, verwende ich den Xcode Static Analyzer (basierend auf dem Clang), habe aber festgestellt, dass einige der üblichen Schwachstellen nicht erkannt werden. Ich habe jedoch Fehler gemeldet :-). Ich benutze auch immer das gcc _FORTIFY_SOURCE Makro. Es gibt keine guten Mac-Risikoanalyse-Tools, aber ich arbeite daran ... ;-)
Ich habe bei Konferenzen und Podcasts zu Mac-Entwicklern über Sicherheit gesprochen und jede Menge Feedback erhalten. Wenn Sie möchten, dass ich alles, was ich gesagt habe, klarstellen oder an dem Community-Feedback interessiert bin, fragen Sie bitte in Kommentaren. Private Fragen sind willkommen (obwohl ich lieber im Forum bleiben würde): iamleeg at securemac programming dot com.
Wir denken, bevor wir programmieren. Seltsamerweise vermeidet es viele Fehler, einschließlich derjenigen, die von gegnerischen Parteien ausgenutzt werden können und fortan als "Sicherheitslücken" bekannt sind.
Teil des Tricks ist es, niemanden in die Nähe einer Tastatur zu lassen, es sei denn, er verfügt über eine solide Erfahrung und Erfahrung.
Tags und Links security cryptography static-analysis