88 % vseh aplikacij vsebuje nevarne komponente

Veracode je izdal letošnjo izdajo raziskave “State of Software Security 2017” in rezultati niso nič kaj spodbudni. Skoraj 9 od 10 spletnih aplikacij, ki so napisane v Javi, uporablja stare odprtokodne komponente, za katere je znano, da imajo varnostne luknje. Po podatkih analitičnega podjetja programske opreme Veracode, so te aplikacije slabo odporne na razne kibernetske napade.

Veracode pri dotični raziskavi uporablja podatke resničnih uporabnikov. Ugotovili so, da je kar 88 % Java aplikacij slabo zaščitenih oziroma, da določene komponente ne zadostijo zadnjim standardom kibernetske varnosti. Programerji z znanjem Jave so danes zelo zaželjeni, hkrati pa močno obremenjeni s količino dela. Zato se poslužujejo raznih knjižnic s kodo, ki je že napisana, saj tako pohitrijo celoten postopek dela. S tem, ko se razne varnostne pomanjkljivosti shranijo v teh knjižnicah, se hitro razširijo po aplikacijah, programerji pa jih pogosto spregledajo. Gre v bistvu za verižno reakcijo, ki jo je zelo težko preprečiti.

Za primer vzemimo knjižnico Apache Commons Collections, ki spada med najbolj popularne in široko uporabljene na sploh. Več kot polovica aplikacij po podatkih analitikov Veracoda uporablja staro verzijo knjižnice, ki je lansko leto po dnevu zahvalnosti zakrivila krizo na sistemu San Francisco Municipal Transportation System. Veracode poroča, da je 77 % vseh do zdaj še netestiranih verzij programske opreme vsebovalo varnostno luknjo v najrazličnejših programskih jezikih.

Glavni problem, ki so ga odkrili je “odtekanje” informacij (kjer lahko zunanji deležniki dostopajo do informacij brez nekih posebnih dovoljenj), kriptografske težave in površnosti v programih na splošno. Recimo puščanje testne kode v finalnem produktu ipd.