Techniken für sichere Code-Reviews

Eine sichere Codeprüfung identifiziert Sicherheitslücken im Quellcode vor der Bereitstellung. Im Gegensatz zu einer funktionalen Codeprüfung konzentriert sie sich auf Vertrauensgrenzen, Datenflüsse, gefährliche APIs, fehlende Kontrollen und Fehler in der Sicherheitslogik – nicht auf Korrektheit oder Stil.

Automatisierte SAST-Tools (Semgrep, SonarQube, CodeQL) erkennen bekannte Muster schnell, übersehen jedoch Schwachstellen in der Geschäftslogik, komplexe Schwachstellen über mehrere Komponenten hinweg und kontextabhängige Probleme. Eine manuelle Prüfung erkennt, was die Automatisierung übersieht. Beide Ansätze sind erforderlich.

Beginnen Sie die Sicherheitsprüfung damit, alle Einstiegspunkte zu erfassen: HTTP-Endpunkte, Handler für Nachrichtenwarteschlangen, Datei-Uploads, geplante Jobs, Webhooks und CLI-Argumente. Jeder Einstiegspunkt, der externe Daten akzeptiert, ist ein potenzieller Injection-Punkt und erfordert eine sorgfältige Prüfung.

Verfolgen Sie benutzergesteuerte Daten von ihrem Einstiegspunkt durch die Anwendung bis zu ihrer endgültigen Verwendung. Erreichen sie eine Datenbankabfrage? Einen Shell-Befehl? Ein HTML-Template? Einen API-Aufruf? Verfolgen Sie den Datenfluss und prüfen Sie jede Transformation und jeden Bereinigungsschritt.

Sicherheitsentscheidungen werden an Vertrauensgrenzen getroffen – dort, wo Daten von einem weniger vertrauenswürdigen Kontext (HTTP-Anfrage) in einen stärker vertrauenswürdigen Kontext (Datenbank, Betriebssystem) gelangen. Bei jeder Überschreitung einer Vertrauensgrenze müssen die Daten validiert, bereinigt oder autorisiert werden.

Markieren Sie die Verwendung von: eval(), exec(), system(), shell_exec(), innerHTML, dangerouslySetInnerHTML, deserialize(), pickle.loads(), Runtime.exec(), ProcessBuilder, XML-Parsern ohne deaktivierte Entity-Erweiterung sowie kryptografischen Primitive, die direkt statt über High-Level-APIs verwendet werden.

Prüfen Sie: Ist jeder sensible Endpunkt durch Authentifizierung geschützt? Wird die Autorisierung serverseitig für jede Aktion geprüft? Kann ein Benutzer auf die Daten eines anderen Benutzers zugreifen, indem er einen ID-Parameter ändert (IDOR)? Sind sensible Vorgänge gegen CSRF geschützt?

Achten Sie auf catch-Blöcke, die Ausnahmen stillschweigend verschlucken. Prüfen Sie, dass für Benutzer angezeigte Fehlermeldungen keine internen Pfade, Stacktraces oder die Struktur der Datenbank offenlegen. Stellen Sie sicher, dass Sicherheitsausnahmen (AuthenticationException) protokolliert und nicht stillschweigend ignoriert werden.

Markieren Sie: MD5 oder SHA-1 zum Hashing von Passwörtern (verwenden Sie bcrypt/Argon2), fest einprogrammierte symmetrische Schlüssel oder IVs, Verschlüsselung im ECB-Modus (verwenden Sie GCM oder CBC mit HMAC), eigene Implementierungen kryptografischer Verfahren und Zufallszahlengeneratoren, die nicht kryptografisch sicher sind.

Prüfen Sie package.json/pom.xml auf veraltete Abhängigkeiten. Überprüfen Sie die Anwendungskonfiguration auf aktivierten Debug-Modus in der Produktion, ausführliche Fehlerseiten, Zugangsdaten von Administratorkonten in Konfigurationsdateien und fehlende Sicherheits-Header (HSTS, CSP, X-Frame-Options).

Semgrep-Regeln gleichen Syntaxmuster mit semantischem Bewusstsein ab. Schreiben Sie benutzerdefinierte Regeln für die spezifischen Muster Ihrer Codebasis. CodeQL behandelt Code als Daten – schreiben Sie Abfragen über den AST, um Datenflüsse von Quellen zu Senken über Dateien und Funktionsaufrufe hinweg zu finden.

Was ist eine IDOR-Schwachstelle, und wo würden Sie in einer Codeprüfung danach suchen?

Eine effektive sichere Codeprüfung kombiniert die Erfassung von Einstiegspunkten, die Nachverfolgung von Datenflüssen, die Analyse von Vertrauensgrenzen, die Erkennung gefährlicher APIs und automatisierte SAST-Tools. Sie findet Sicherheitsprobleme, die bei einer funktionalen Prüfung übersehen werden, insbesondere Fehler in der Geschäftslogik und subtile Lücken bei der Autorisierung.