لماذا تهم
قراءة الشيفرة تكشف المشكلة عند مصدرها، وغالبا قبل أن يصل إليها أي مختبر من الخارج بزمن طويل. والإصلاح في هذه المرحلة بضعة أسطر في طلب دمج، لا تحديثا أمنيا طارئا. وهي تعلم الفريق كذلك كيف يبدو النمط الخطر، فيقل تكرار الخطأ نفسه.
ما الذي يبحث عنه المراجع
- المصادقة والجلسات: كيف يثبت المستخدم هويته وكيف يحفظ هذا الإثبات.
- الصلاحيات: هل يتحقق كل طلب من أن هذا المستخدم يحق له فعل هذا الأمر في هذا السجل.
- معالجة المدخلات والمخرجات: أين تصل بيانات غير موثوقة إلى قاعدة بيانات أو صفحة أو أمر، وهنا أصل حقن SQL والبرمجة النصية عبر المواقع.
- الأسرار: إبقاء المفاتيح وكلمات المرور خارج المستودع وخارج السجلات.
- الاعتماديات: مكتبات فيها ثغرات معروفة.
- الأخطاء والتسجيل: ألا تظهر بيانات حساسة في الرسائل، وأن تكفي التفاصيل للتحقيق في أي حادثة.
الأدوات والأشخاص
أدوات التحليل الساكن سريعة وتجد الأنماط المعروفة، كاستعلام بني بدمج نصوص. لكنها ضعيفة أمام عيوب المنطق، مثل غياب فحص الملكية. وهذا من نوع كسر التحكم في الصلاحيات، الذي يقع قرب رأس قائمة OWASP Top 10، ويلتقطه شخص يفهم ما يفترض أن يفعله المنتج. فاستخدم الاثنين معا.
أخطاء شائعة
- الوثوق بالأداة وتجاهل القراءة البشرية.
- مراجعة الأسطر المتغيرة فقط دون الشيفرة المحيطة بها.
- الانتظار إلى النهاية حين تكبر التغييرات ويصعب التراجع عنها.
- المراجعة دون نموذج تهديدات، فيذهب الجهد إلى المكان الخطأ.
مصطلحات ذات صلة
تنظر المراجعة من الداخل، أما اختبار الاختراق فينظر من الخارج. وكل منهما يجد أشياء مختلفة، لذلك يعملان معا بشكل جيد. واقرأ عن مراجعة الشيفرة الآمنة لدينا.