کد بوی 262 – ثابت جایگزین نشده است

Summarize this content to 400 words in Persian Lang
یک کد امنیتی دیگر بوی می دهد زیرا هیچ کس هرگز اسناد را نمی خواند

TL;DR: نادیده گرفتن جایگزینی مداوم منجر به خطرات امنیتی شدید می شود.

تعویض مداوم کلید را اجرا کنید
فروشندگان بالادستی را حسابرسی کنید
بررسی های امنیتی را به صورت خودکار انجام دهید
مستندات خود را با آزمایشات اجرا کنید
از پیش فرض های نامعتبر استفاده کنید تا مطمئن شوید که همیشه جایگزین می شوند

یک نقص امنیتی بزرگ، PKfail، به مدت 12 سال بدون توجه باقی ماند و صدها دستگاه را به خطر انداخت.

این آسیب‌پذیری ناشی از شکست فروشندگان در جایگزینی کلید اصلی Secure Boot «DO NOT TRUST» است، مرحله‌ای حیاتی که با وجود دستورالعمل‌های واضح نادیده گرفته شد.

این نظارت دستگاه‌های بی‌شماری را در معرض بهره‌برداری قرار داد و به عوامل تهدید اجازه داد تا اقدامات امنیتی را دور بزنند و نرم‌افزارهای مخرب نصب کنند.

اشتباه است

fn generate_pk() -> String {
“DO NOT TRUST”.to_string()
}

// Vendor forgets to replace PK
fn use_default_pk() -> String {
let pk = generate_pk();
pk // “DO NOT TRUST” PK used in production
}

وارد حالت تمام صفحه شوید

از حالت تمام صفحه خارج شوید

درسته

fn generate_pk() -> String {
“DO NOT TRUST”.to_string()
// The documentation tells vendors to replace this value
}

fn use_default_pk() -> String {
let pk = generate_pk();

if pk == “DO NOT TRUST” {
panic!(“Error: PK must be replaced before use.”);
}

pk // Valid PK used in production
}

وارد حالت تمام صفحه شوید

از حالت تمام صفحه خارج شوید

شما می توانید این بو را با بررسی مقادیر پیش فرضی که باید قبل از استقرار جایگزین شوند، تشخیص دهید.

ابزارهایی مانند تحلیلگرهای استاتیک و بررسی کد دستی به شما کمک می‌کنند تا کلیدهای رمزگذاری شده یا مکان‌دار را که باید به‌روزرسانی شوند، شناسایی کنید.

ژنراتورهای هوش مصنوعی ممکن است این بو را ایجاد کنند مگر اینکه دستورالعمل‌های مربوط به مراحل امنیتی مربوط به زمینه را داده باشند.

برای اطمینان از تعویض صحیح کلید باید دستورالعمل های واضحی ارائه دهید.

ابزارهای هوش مصنوعی می‌توانند این بو را با قوانینی که ارزش‌های نگهدارنده مکان را از طریق آزمایش و بررسی نشان می‌دهند، تشخیص دهند.

نادیده گرفتن مراحل مهم در فرآیند امنیتی، مانند جایگزینی کلیدهای پیش فرض، می تواند منجر به آسیب پذیری های شدید شود.

این نقص طولانی مدت بر نیاز به اقدامات امنیتی سختگیرانه تأکید می کند.

تمام مدارک خود را با آزمون های پذیرش جایگزین کنید.

رادار فنی

کد بوی نظر من است.

عکس توسط Jason Leung در Unsplash

20 سال طول می کشد تا یک شهرت ایجاد شود و چند دقیقه یک حادثه سایبری برای از بین بردن آن.

استفان ناپو

این مقاله بخشی از سری CodeSmell است.

fn generate_pk() -> String {
    "DO NOT TRUST".to_string()
}

// Vendor forgets to replace PK
fn use_default_pk() -> String {
    let pk = generate_pk();
    pk // "DO NOT TRUST" PK used in production
}

fn generate_pk() -> String {
    "DO NOT TRUST".to_string()
    // The documentation tells vendors to replace this value
}

fn use_default_pk() -> String {
    let pk = generate_pk();

    if pk == "DO NOT TRUST" {
        panic!("Error: PK must be replaced before use.");
    }

    pk // Valid PK used in production
}