Maak softwarebedrijven verantwoordelijk voor fouten

Twee fouten uit de lijst van vorig jaar lagen samen ten grondslag aan het misbruik van 1,5 miljoen websites over het jaar 2008, variërend van het ‘down’-gaan tot diefstal van persoonlijke en financiële informatie van bezoekers. Met de publicatie van een lijst van meest voorkomende programmeerfouten die aanleiding geven tot cybercrime, willen MITRE en SANS Institute het bewustzijn ten aanzien van beveiliging onder programmeurs en klanten verbeteren.

Op de lijst figureren grotendeels dezelfde fouten als vorig jaar. De top-drie bestaat dit jaar uit het nalaten om de structuur van een webpagina te verduurzamen (aanleiding voor cross site scripting-aanvallen); onvoldoende aandacht voor de juiste structuur van speciale elementen in SQL-commando’s (aanleiding voor aanvallen middel SQL Injection); en het kopiëren van buffers zonder de lengte van de invoer te controleren (aanleiding voor de klassieke bufferoverflow-aanval). De volledige lijst met toelichting is te vinden op de site van Mitre. Overigens benadrukken de onderzoekers dat de ernst van fouten mede bepaald wordt door toepassingsomstandigheden. Aan de volgorde op de ranglijst moet dus geen absoluut belang gehecht worden. Mede daarom zijn dit jaar in een bijlage ook 16 fouten vermeld die wel bestudeerd zijn, maar de top-25 niet gehaald hebben.

Aan de publicatie van de top-25 verbinden de organisaties dit jaar het advies aan kopers van software, om van hun leveranciers garanties te vragen ten aanzien van de kwaliteit van de software en de manier waarop die tot stand is gebracht. Het SANS Institute heeft op zijn website een voorbeeldcontract gepubliceerd waarmee men die verantwoordelijkheid van de leverancier kan vastleggen, met daarbij het nadrukkelijke advies om er ook door juristen nog eens naar te laten kijken.

Daarnaast is er een certificatieprogramma opgezet waarmee softwarebedrijven zeker kunnen stellen dat medewerkers aan hun ontwikkelprojecten over voldoende kennis beschikken over de veiligheidsvraagstukken in de tools waarmee en op het platform waarvoor ze ontwikkelen.