Récemment, la société de sécurité open source WhiteSource fait pour la sécurité du langage de programmation d'un rapport, le rapport présente un nouveau problème - « Quel langage de programmation le plus sûr? »
langage de programmation Incontestable, est un sujet brûlant a été la communauté des développeurs, mais le processus de discussion est souvent accompagnée d'une rupture à la fois la colère et l'harmonie, rien. De nombreux développeurs préfèrent prouver leur domine le langage de programmation, il y a la sécurité du processus souvent mentionné.
Récemment WhiteSource sur sept sécurité du langage de programmation populaire pour faire le rapport annuel de la banque. Le rapport résume les informations de vulnérabilité open source provenant de sources multiples, telles que la National Vulnerability Database (NVD), les bulletins de sécurité, GitHub numéro Tracker (Issue Tracker) et un suivi des problèmes de projet open source populaire.
WhiteSource Selon un langage populaire utilisé par la communauté open source au cours des dernières années, a confirmé que sept langages de programmation les plus populaires: C, Java, JavaScript, Python, Ruby, PHP et C ++ .
Sur la base de ces langages de programmation sur, WhiteSource recherche dans la base de données pour voir si le nombre de ces dix dernières années dans toutes les langues connues des failles de sécurité open source, les changements dans le passage de ces brèches de sécurité au fil du temps, ainsi que la langue la plus CWE (Common la faiblesse Enumeration, liste de défauts générale).
Le rapport indique le nombre total de vulnérabilité open source au cours des 10 dernières années dans différentes langues, il est clair que la primauté du langage de programmation est langage C, ce qui représente la moitié à peu près de la proportion.
Mais cela n'explique pas la sécurité du langage C est beaucoup plus faible que d'autres langues populaires. Cette proportion élevée peut être expliquée par plusieurs facteurs:
- Première fois en utilisant le langage C est la plus longue dans la langue de l'enquête;
- D'autre part, une grande quantité de code écrit en langage C en général;
- En troisième lieu, l'une des principales langues Open SSL et le noyau Linux et d'autres infrastructures derrière elle est le langage C.
La combinaison de l'existence du temps, le volume et le centre d'autres facteurs, peut expliquer pourquoi le langage C, il est tellement ouvert un certain nombre de failles de sécurité connues.
Le rapport montre également un changement avec le passage du temps, le nombre de failles de sécurité open source dans différents langages de programmation.
Au cours de la dernière décennie, ils ont leurs propres hauts et des bas, mais toutes les langues par une tendance importante est Tous les deux dernières années, le nombre de failles de sécurité connues ont considérablement augmenté la langue . Cela peut être vu plus largement et sensibiliser les failles de sécurité open source. Avec un investissement de recherche de sécurité open source dans des ressources supplémentaires, il a été constaté que le nombre de problèmes de sécurité deviennent également plus.
Quelle est la gravité de ces vulnérabilités il? Les chercheurs sérieux de recherche élevé des failles de sécurité open source (scores CVSS v2 supérieur à 7), trouvé En plus de JavaScript et PHP, ce qui représente la majeure partie de la langue dans le rapport impliqué une vulnérabilité grave en déclin .
Cela peut être le résultat des chercheurs en sécurité à l'aide d'outils automatisés. Bien que ces outils au cours des dernières années, le nombre de vulnérabilité modérée a augmenté dans la plupart des langues, mais ces outils ne sont pas généralement dans les problèmes de sécurité complexes et graves.
Les enquêteurs ont également examiné chaque langue CWE de commun. Parmi ceux-ci, les attaques de cross-site scripting (XSS, également connu sous le nom CWE-79) et la validation d'entrée (également connu sous le nom CWE-20) ont représenté le plus emplacement commun. De plus plus important CWE de fuite d'information (CWE-200), chemin traversal (CWE-22), et les droits de contrôle d'accès (CWE-264), le contrôle d'accès non autorisé (CWE-284) et similaires.
« Mon langage de programmation est plus sûr que vous, » sujet similaire peut être un moyen amusant pour tuer le temps. A propos de langage de programmation est souvent la discussion la plus sûre sera également quelques idées intéressantes, mais plutôt de trouver la réponse finale ne peut pas être en mesure de vous aider à créer à la fois des logiciels innovants et sécurisés.
Aujourd'hui, la plupart des développeurs de logiciels dépendent d'une variété de langages de programmation, plutôt que de s'accrocher à un langage de programmation. Master vulnérabilités connues open source, comprendre les forces et les faiblesses du langage de programmation utilisé par l'équipe, qui est de veiller à ce que le projet de logiciel dès le début avec la sécurité d'une bonne façon.
Le langage de programmation le plus sûr est pas de vainqueur final. conclusion tirée de WhiteSource finale l'étude est que la sécurité des langages de programmation, sans égard à la langue elle-même, mais dépend de l'utilisation de l'utilisateur. l'équipe de développement en utilisant des méthodes de gestion appropriées pour réduire les vulnérabilités ensemble SDLC (cycle de vie du système), c'est un bon choix pour assurer la sécurité du projet.
Cet article a autorisé transféré de l'open-source chinoise (ID: oschina2013), le paragraphe auteur du paragraphe.
