Hej.
"Alex Holst" <a@mongers.org> wrote in message
news:12oopa.f45.ln@miracle.mongers.org...
> Stig Johansen <stig.johansen@udvikling.it> wrote:
> > I forbindelse med test af et system, er jeg endnu engang, stødt på
> > inkompetente forsøg på at undgå sql injection (clientside spærring).
>
> Du maa i gang med at skrive retningslinier for udvikling i jeres
> virksomhed. Hvis det er interne udviklere der laver fejlen maa du saelge
> ideen til ledelsen og faa dem til at indse at de kan spare penge ved at
> udvikle softwaren korrekt foerst gang. Hvis det er eksterne udviklere
> der laver fejlene kan jeg raade dig til at faa ledelsens stoette til at
> skrive disse slags sikkerhedskrav ind i kontrakten. Evt. fejl der bliver
> fundet skal naturligvis rettes paa leverandoerens regning og der kan
> maaske blive tale om et nedslag i prisen. Det er een maade at faa en
> intern sikkerhedsafdeling til at "give penge."
Jeg er helt enig med dig, men det er en lang og besværlig process. Lang og
besværlig fordi ledelses målgruppen er Staten.
Staten ønsker ikke at egenudvikle, men køber tit via udbud. Det er i sig
selv en lang process, fordi leverandørerne efterfølgende fortolker krav
punktvis, og ikke i sammenhæng(amanda - syndromet).
Når så (bemærk ikke Hvis) systemet ikke lever op til forventningerne, skal
man til at søge hjælp i kravspec'en, for at forsøge at redde situationen.
Det var en kort redegørelse for processen, og min rolle p.t. er at hjælpe
VTU og ITST med opfølgning på forventninger,krav,leverancer,kvalitetssikring
samt skabe 'ammunition' til videre forhandlinger.
> Der findes en del resourcer du kan tage ideer til saadan retningslinier
> fra, blandt andet David Wheeler's Secure Programming, Les Hatton's Safer
> C og Solid Software samt Adam Shostack's gamle Code Review side. De
> fleste af disse er naevnt i OSS'ens videre laesning.
Tak for henvisningerne, men jeg har ikke lige behov for læsning.
> Jeg mener ikke et saa stort og specifikt emne hoerer til i OSS'en. Det
> er ikke uden grund at der er skrevet adskellige boeger om emnet.
Jeg er ikke ude på at lave overordnede retningslinier, det var mere en
tanke, der opstod fordi jeg naturligvis følger med i hhv. Valus-projektet
(skide godt gået), samt Harald-nyborg projektet.
Harald nyborg kan klares med en sætning: Brug altid parameteriserede
queries.
Valus kan klares med en sætning: Tilføj altid ' and where userid=logonid) i
statements.
(Til dig der ikke kender til databaseprogrammering, håber jeg, at du
alligevel kan se det latterligt lave kompetenceniveau).
--
Med venlig hilsen/Best regards
Stig Johansen
Stig.Johansen@udvikling.it.dk
(remove dot dk)