เทคนิคการตรวจสอบโค้ดอย่างปลอดภัย

การตรวจสอบรหัสอย่างปลอดภัยช่วยระบุช่องโหว่ด้านความปลอดภัยในรหัสต้นฉบับก่อนนำไปใช้งาน ต่างจากการตรวจสอบรหัสด้านการทำงาน เพราะมุ่งเน้นขอบเขตความไว้วางใจ การไหลของข้อมูล ส่วนต่อประสานที่เป็นอันตราย มาตรการควบคุมที่ขาดหาย และข้อผิดพลาดในตรรกะด้านความปลอดภัย ไม่ใช่ความถูกต้องหรือรูปแบบการเขียน

เครื่องมือ SAST แบบอัตโนมัติ เช่น Semgrep, SonarQube และ CodeQL ตรวจจับรูปแบบที่ทราบได้อย่างรวดเร็ว แต่พลาดข้อบกพร่องในตรรกะทางธุรกิจ ช่องโหว่ที่ซับซ้อนระหว่างหลายส่วนประกอบ และปัญหาที่ขึ้นอยู่กับบริบท การตรวจสอบด้วยคนช่วยค้นหาสิ่งที่ระบบอัตโนมัติพลาด ดังนั้นจึงจำเป็นต้องใช้ทั้งสองวิธี

เริ่มการตรวจสอบความปลอดภัยด้วยการทำแผนผังจุดรับข้อมูลทั้งหมด ได้แก่ จุดปลายทางของคำขอ HTTP ตัวจัดการคิวข้อความ การอัปโหลดไฟล์ งานตามกำหนดเวลา เว็บฮุก และอาร์กิวเมนต์ CLI จุดรับข้อมูลแต่ละจุดที่รับข้อมูลจากภายนอกอาจเป็นจุดฉีดข้อมูล จึงต้องได้รับการตรวจสอบอย่างละเอียด

ติดตามข้อมูลที่ผู้ใช้ควบคุมตั้งแต่จุดรับข้อมูล ผ่านแอปพลิเคชันไปจนถึงการใช้งานขั้นสุดท้าย ข้อมูลไปถึงคำสั่งในฐานข้อมูลหรือไม่ ไปถึงคำสั่งเชลล์หรือไม่ ไปถึงแม่แบบ HTML หรือไม่ หรือไปถึงการเรียกใช้ส่วนติดต่อโปรแกรมประยุกต์หรือไม่ ให้ติดตามการไหลของข้อมูลและตรวจสอบการแปลงรวมถึงทุกขั้นตอนการทำให้ข้อมูลปลอดภัย

การตัดสินใจด้านความปลอดภัยเกิดขึ้นที่ขอบเขตความไว้วางใจ ซึ่งเป็นจุดที่ข้อมูลเคลื่อนจากบริบทที่ได้รับความไว้วางใจน้อยกว่า เช่น คำขอ HTTP ไปยังบริบทที่ได้รับความไว้วางใจมากกว่า เช่น ฐานข้อมูลหรือ OS การข้ามขอบเขตความไว้วางใจทุกครั้งต้องตรวจสอบความถูกต้อง ทำให้ข้อมูลปลอดภัย หรืออนุญาตข้อมูลนั้น

ให้ตั้งข้อสังเกตการใช้งาน eval(), exec(), system(), shell_exec(), innerHTML, dangerouslySetInnerHTML, deserialize(), pickle.loads(), Runtime.exec(), ProcessBuilder ตัวแยกวิเคราะห์ XML ที่ไม่ได้ปิดการขยายเอนทิตี และองค์ประกอบพื้นฐานด้านการเข้ารหัสที่นำมาใช้โดยตรงแทนส่วนต่อประสานระดับสูง

ตรวจสอบว่า จุดปลายทางที่มีข้อมูลอ่อนไหวทุกจุดได้รับการป้องกันด้วยการตรวจสอบสิทธิ์หรือไม่ ตรวจสอบการอนุญาตจากฝั่งเซิร์ฟเวอร์สำหรับทุกการกระทำหรือไม่ ผู้ใช้สามารถเข้าถึงข้อมูลของผู้ใช้อื่นได้ด้วยการเปลี่ยนพารามิเตอร์ ID หรือไม่ (IDOR) และการดำเนินการที่มีข้อมูลอ่อนไหวได้รับการป้องกันจาก CSRF หรือไม่

มองหาบล็อก catch ที่กลืนข้อยกเว้นโดยไม่แจ้งให้ทราบ ตรวจสอบว่าข้อความข้อผิดพลาดที่แสดงต่อผู้ใช้ไม่เปิดเผยเส้นทางภายใน ร่องรอยสแต็ก หรือโครงสร้างฐานข้อมูล ตรวจสอบว่าข้อยกเว้นด้านความปลอดภัย เช่น AuthenticationException ได้รับการบันทึกและไม่ถูกเพิกเฉยอย่างเงียบ ๆ

ให้ตั้งข้อสังเกตการใช้ MD5 หรือ SHA-1 สำหรับการแฮชรหัสผ่าน ซึ่งควรใช้ bcrypt หรือ Argon2 แทน การใช้คีย์สมมาตรหรือเวกเตอร์เริ่มต้นที่ฝังตายตัว การเข้ารหัสในโหมด ECB ซึ่งควรใช้ GCM หรือ CBC ร่วมกับ HMAC การนำการเข้ารหัสที่สร้างขึ้นเองมาใช้ และตัวสร้างตัวเลขสุ่มที่ไม่ปลอดภัยตามหลักการเข้ารหัส

ตรวจสอบ package.json/pom.xml เพื่อค้นหาการพึ่งพาที่ล้าสมัย ตรวจสอบการกำหนดค่าแอปพลิเคชันว่ามีการเปิดใช้โหมดแก้ไขข้อบกพร่องในระบบจริงหรือไม่ มีหน้าข้อผิดพลาดที่แสดงรายละเอียดมากเกินไปหรือไม่ มีข้อมูลรับรองผู้ดูแลระบบในไฟล์การกำหนดค่าหรือไม่ และมีส่วนหัวด้านความปลอดภัยที่ขาดหายไปหรือไม่ เช่น HSTS, CSP และ X-Frame-Options

กฎของ Semgrep จับคู่รูปแบบไวยากรณ์โดยตระหนักถึงความหมาย ควรเขียนกฎแบบกำหนดเองสำหรับรูปแบบเฉพาะของฐานรหัสของคุณ CodeQL มองรหัสเป็นข้อมูล ให้เขียนคำค้นเหนือ AST เพื่อค้นหาการไหลของข้อมูลจากแหล่งที่มาไปยังจุดปลายทางข้ามไฟล์และการเรียกใช้ฟังก์ชัน

ช่องโหว่ IDOR คืออะไร และคุณจะมองหาช่องโหว่นี้ที่ใดในการตรวจสอบรหัส

การตรวจสอบรหัสอย่างปลอดภัยที่มีประสิทธิผลผสานการทำแผนผังจุดรับข้อมูล การติดตามการไหลของข้อมูล การวิเคราะห์ขอบเขตความไว้วางใจ การตรวจจับส่วนต่อประสานที่เป็นอันตราย และเครื่องมือ SAST แบบอัตโนมัติ วิธีนี้ช่วยตรวจพบปัญหาด้านความปลอดภัยที่การตรวจสอบด้านการทำงานพลาด โดยเฉพาะข้อบกพร่องในตรรกะทางธุรกิจและช่องโหว่เล็กน้อยในการอนุญาต