中毒之源
所以，我们看到了多种技术坏人利用，以挤压木马功能整合到我们的系统。 不过，或许是最令人担忧的特洛伊木马病毒载体涉及插入恶意代码到一个软件产品之前，它的，甚至释放。 黑客可以trojanize节目，在软件供应商的开发和测试流程。 假设攻击者对舍内作为雇员在一个重要的软件开发店或义工贡献代码的一个开放源码软件项目。 目标可以是任何事情;一个主要的作业系统，一种广泛使用的企业资源规划工具，甚至是一个非常深奥的程序所使用的银行管理其资金转移都将做出多汁的目标。 作为一个开发商，甚至是测试器，攻击者可以插入一个相对较小的后门少于100kb的代码内数以百计的兆字节的合法代码。 这真是一个针在大海捞针！ 任何用户购买产品，然后不知不觉地被买出一个木马和将它安装在他们的系统。 整个软件产品本身成为特洛伊木马，做一些有益的（这也就是为什么你购买或下载它） ，但掩蔽这个后门。 肯汤普森指出， unix的镜头和c编程语言大师，讨论控制的重要性源代码，并有可能种植在后门，它在其著名的1984年的文件名为"关于信任的信任度" 在这方面典型的文件，汤普森形容修改源代码，一个编译器，以便它建成一个后门进入的所有代码，它编制的。 拟议攻击是特别阴险的，因为即使是一个全新的编译器是在编译出一个木马版本的旧编译器将有后门，在它。 这一途径的攻击，长期以来一直是一个令人担忧的是一个更大的潜在问题。 这种忧虑是更令人不安比trojaning的软件分发点，我们讨论了在上一节。 当攻击者trojanizes软件分销的工地上，开发商的软件，至少有一个干净的软件版本，他们可以比较对检测的说辞。 退出问题，是比较容易发现后，作为一个干净版的软件，可放置在网站上发行了。 在另一方面，如果一个攻击嵌入一个木马，在软件开发过程中，卖方可能不会甚至有一个干净的副本。 如果攻击者是特别聪明，他们会交织小，不显眼的后门，在整个正常代码，根除极为困难。 软件开发者将不得不扫描大量代码，以确保资料完整的整体产品。 规模较大的软件产品，更难以侦测和根除成了。 让我们分析为什么会这样。 代码的复杂性使得攻击更容易最先进的软件工具，是广大范围的。 检测错误代码，更不用说后门，是非常困难和昂贵。 以trojanize一个软件产品，是一个邪恶的雇员，甚至没有真正写出一个完整的后门进入该产品。 反之，恶意的开发人员可以有针对性地写出代码包含一个可利用的漏洞，如缓冲区溢出，可以让攻击者接管机器。 有效的，例如一个有意义的瑕疵行为就像一个后门。 如果该漏洞潜入过去的软件测试团队，发展商将只有1人知道该洞初期。 通过利用这一缺陷，开发人员可控制任何系统用他或她的代码。 看看感觉如何轻易这种故意瑕疵或什至完全特洛伊木马可以吱吱声过去软件开发的质量流程，让我们考虑质量跟踪记录，资讯科技业随着时间的推移。 软件质量问题已困扰了我们几十年。 在引进高密度芯片，光纤技术，并改善硬盘驱动器，硬件继续得到更可靠随着时间的推移。 软件，但另一方面，仍顽固瑕疵。 瓦特汉弗莱，软件质量大师和研究者，由卡内基梅隆大学，进行了调查到的错误数量软件开发商共同做出的时候写的代码。 各种分析都显示，平均来说，一个典型的开发商意外地介绍了100至150个缺陷，每一千行代码。 这些问题，完全是偶然的，而是一个单一的故意缺陷，黑客可以潜入中一样。 虽然很多这些误区是简单的语法问题，很容易发现一个编译器，是一个好的协议，在余下的缺陷，往往造成敞开的一个安全漏洞。 其实，在本质上，一个安全漏洞是真的，只是很控制剥削的一个漏洞，以达到攻击的具体目标。 如果攻击者可以使程序失败的一种方式有利于攻击者（撞毁系统，获得高产，或展示机密资料） ，攻击者获胜。 估计非常保守的算法，如果只有一个中的10个缺陷，在软件有安全方面的影响，这使得10至15处安全缺陷，每一千行代码。 这些数字只是不要小看非常振奋人心。 一个复杂的操作系统，例如微软的windows xp有大约45万行代码，而这庞大的数量在不断增加新的功能和补丁发布。 其他的操作系统和应用软件有大量的代码。 做乘法，为xp的，有可能是约45万元的安全缺陷，在windows xp单。 即使我们备用的- -信封计算是过高的一个因素100 ，可仍然意味着4500的安全漏洞。 乌！ 事实上，在同一天表示，在windows xp发布于2001年10月，微软发布了高达18兆的补丁。 不要误会我的意思;我爱的windows xp 。 它的远更可靠和更容易使用比以前版本的视窗。 它的绝对是一个正确的方向迈进，从这些角度。 不过，这只是说明了安全问题固有的大型软件项目。 这不仅是微软的问题，要么;整个软件业是引入更大，更复杂的，超功能丰富（有时特征拉丹）的节目吨的安全漏洞。 在整个软件行业中，我们看到非常肥沃的土壤，攻击核电厂一个微妙的木马。 测试？ 什么测试？尽管有这些安全漏洞，一些乡亲仍然认为测试进程受雇于开发商会救我们找到特洛伊木马程序之前污点击中产品的货架上。 我用平民愤我的关注与争论。 它帮助我每晚都可以高枕无忧。 但是也有另一种层面这里要牢记摧毁你的和平沉睡：复活节彩蛋。 据复活节蛋档案™ ，复活节蛋的定义是：
复活节彩蛋是那些意料之外goofy少"的特点： "堆里远离你的软件（或其他产品） ，即弹出非常特殊的情况下。 例如，如果你运行程序，同时举行了英文，法文，和s键，你可能要想看到性感照片的程序开发者。 复活节蛋档案馆保持了师父的名单，这些小宝石在www.eeggs.com ，有超过2775软件复活节彩蛋记录在案，作为本文件的编写。 怎样做复活节彩蛋都与特洛伊木马的软件？ 很多，在事实。 复活节蛋，实在是一种形式的特洛伊木马，尽管（典型）的良性肿瘤之一。 但是，如果软件开发商能够潜入良性复活节蛋过去的软件测试和质量保证团队，这毫无疑问，在我看来，他们同样可以通过一个木马或故意缓冲区溢出为好。 事实上，攻击者甚至可以把后门内复活节蛋嵌入主程序。 如果测试和质量保证队伍不通知，复活节蛋，甚至察觉不到，但让它通过，他们可能不会了解一下它的这种隐藏的功能。 对我来说，存在的复活节彩蛋证明相当清楚恶意开发商或测试，可以把恶劣的隐性功能内的产品代码，并获得通过产品发布，没有被注意到。 为了给人一种感觉：复活节蛋，让我们来看一个嵌入在一个广受欢迎的产品，微软的excel电子表格程序。 excel的，是相当闻名，其复活节彩蛋。 较早版本的程序， excel 97中，包括飞行模拟器游戏。 较近期的版本， excel和2000年，包括汽车驾驶游戏开发的猎人。 这个复活节蛋工作，你一定有卓越2000 （学前教育服务第1版） ，因特网探险家，和directx安装到电脑上。 要激活复活节蛋和玩游戏，你必须做到以下几点：
如果游戏是没有援引你的系统，它很可能因为你的服务发布一日或以后版本的excel软件安装在您的机器，而这还不包括复活节蛋。 你可以追捕较早版本的微软的excel ，还是只把我的字。 现在，你的态度，这种"特色"是在一个电子表格，一个办公室生产力计划。 取决于你的心态，它可能是企业过度和乐趣。 但是，请问这样的事，要过软件质量的过程中（其中应包括代码审查）和测试团队？ 也许质量保证和测试人员没有注意到它。 另一方面，或许质量保证乡亲和测试人狼狈为奸，与发展商看到这个游戏了纳入生产释放。 无论哪种方式，我很担心与展望出一个木马被插在一个类似的方法，在其他厂商。 再次，我不是针对微软刚刚在这里。 事实上，微软已经好转的迹象在过去两，三年就这些关切。 新的服务包或热门补丁频繁，并迅速壁球任何复活节彩蛋包括在早些时候发布。 微软的可信赖计算倡议的，虽然往往是嘲笑，是开始承担一些水果，因为越来越少的安全漏洞和复活节彩蛋似乎是未来市场在微软的程序。 不过，我说这个非常犹豫，至于另一个巨大敞开的蛋可发现任何一天。 但是，他们强调指出，这不是微软唯一的问题，还有许多其他的软件开发商铺的复活节彩蛋包括在他们的产品，包括苹果电脑，诺顿和adobe ，夸克，开放源代码mozilla浏览器，和opera浏览器。 名单下去，并阐述了为世人有目共睹，在www.eeggs.com 。 在走向国际的发展最后关注的领域对于恶意软件开发商和特洛伊木马是相关的代码正在研制世界各地。 软件制造商越来越依靠高度分布式队周围的行星形成代码。 为什么不呢？ 从经济角度看，众多国家都公民与一流的软件开发技能和低得多的劳动率。 虽然经济学常理，特洛伊木马安全问题，织机大得多，与这种类型的软件开发。 假设你购买或下载的软件，由供应商十，即卖方，反过来，合同与供应商y和z制定的某些部分的代码。 卖主z分包不同的亚工作，以三个不同的国家遍布全球。 经过一段时期的产物，坐在你的硬盘，数以千计的手中分发全国各地的星球可能曾经参与开发。 某些人的手中，可能已种植了恶劣的后门。 更糟糕的是，同样的分析适用于后端财务系统用你的银行和数据库程序房屋是你的医疗记录。 信息安全的法律和产品责任的规则有很大差异的国家而异，许多国家都没有过非常强劲的规章，在所有。 这种忧虑是没有与道德等全面发展的各个国家。 取而代之的是，关注涉及质量水平控制，可以适用于有限的合同和规章制度支撑结构。 此外，同样的经济效果，是驱动发展，以国家与较便宜的开发人员可以使问题恶化。 攻击者也许能买通开发商作出100元，一个星期或一个月到把一个后门进入代码很少的钱。 "在这里的10年的工资… …请更改两行代码，为我的" ，可能都表示将采取的。 我们不想被仇外这里;国际软件开发是一个现实的显着效益，今天的信息技术业务。 但是，我们也必须承认，它不增加安全风险的特洛伊木马程序或有意软件漏洞。 针对防食物中毒源头你如何能捍卫自己从一个木马种植的一个员工你的软件开发房子？ 这是一个特别严峻的问题，因为你无法控制的发展，绝大多数的软件对你的系统。 尽管如此，有一些事情我们都可以做，作为一个社区，以改善这种状况。 首先，你可以鼓励你的商业销售有强劲的完整性控制和测试方案在介绍他们的产品。 如果他们不走，殴打他们，并威胁要使用其他产品。 我的意思并不是要殴打他们从字面上来看。 我并不想煽动暴力，为善希拉里。 "殴打他们， "我的意思是让他们有困难的时候。 他们挑战。 大声喝斥。 让你的软件开发厂商知道如何重要，安全的代码是你的行动。 当市场开始要求更安全的代码，我们将逐渐开始缓慢朝着这一方向前进。 此外，如果你使用了大量的开放源代码软件，支持社区与你的时间和精力，了解软件的漏洞。 如果你有一技之长，帮助审查开放源代码，以确保它是安全的。 其次，当你购买或下载新的软件，首先对它进行测试，以确保它不包括任何明显的木马能力。 一个彻底的软件测试和评价过程中，在房子，你可能会找一些特洛伊木马程序，在你的产品之前，谁都通知书。 传达这一信息，向供应商，以帮助解决这一问题。 如果您的组织开发的任何代码，在众议院时，要确保你的软件测试团队是了解这个问题的复活节彩蛋，特洛伊木马病毒，并蓄意的缺陷。 可悲的是，软件测试人员，往往被看作是非常底部两层的重要性，在软件开发的层次，通常是越来越少的尊重，承认，或者支付。 然而，它们的重要性，以保障我们的产品是至关重要的。 训练这些乡亲，使他们能迅速发现代码不看的权利，并报告给适当的管理人才。 奖励你的测试，当他们发现的重大安全问题，然后你船软件。 要小心，虽然。 你不想有测试工作，与开发商的游戏系统和植物缺陷，所以他们可以赚更多的钱。 说的一样，有一个彩票，人们可打印自己的获奖通知书。 仔细监控任何缺陷奖励计划你创造这样的说辞。 此外，确保你的测试人员和开发人员可以从报告中的安全关切，没有报复，从绝望经理尝试，以满足严格的软件的最后期限。 视乎大小你的组织及其文化，你也许甚至要引入一个匿名举报，为您的开发人员报告了这种关切。 让这十分需要额外注意你的软件测试员，你可以帮助压制问题，特洛伊木马程序，以及提高综合素质你的产品。 注入这种心态在整个培养你的软件开发团队，考虑转换你的测试组织转变成一个完全成熟的质量保证功能。 质量保证组织应与包机软件安全责任，作为一个小面的质量。 建立你的质量保证过程纳入整个周期的软件开发，包括设计，代码审查和测试。 你还应该小心控制你的源代码，规定发展商须认证工作之前，对任何模块。 所有这些改变应该有迹可循，并审查了由另一开发商。 只有彻底的质量流程和源代码控制，我们才能继续改善的情况与不可信的源代码。 这是一篇文章说，由greg mcklein
|
|||
|