[Перевод] Фрагменты кода со StackOverflow, которые разработчики часто копируют вместе с ошибками
Инспекция кода с прицелом на безопасность – то, чем я занимаюсь изо дня в день уже тринадцать с половиной лет. За это время я просмотрел несколько сотен кодовых баз и не раз имел дело с криптографическим кодом. В большинстве случаев в криптографическом коде, который я проверял, обнаруживались ошибки. И очень часто источником этих фрагментов-фальшивок оказывались ответы на StackOverflow, собравшие много голосов. В этой статье я покажу несколько непригодных для использования кусков кода и объясню, что в них неверно, а также дам рекомендации, как исправить дело.
Я делаю это не для того, чтобы навлечь позор на людей, которые написали что-то не так. Я просто хочу приложить руку к решению проблемы. За время своей работы в AppSec я очень устал от бесконечных однообразных споров. Я делаю всё, что в моих силах, чтобы люди могли без особых сложностей реализовать всё правильно, в частности, указываю на код, который можно использовать смело – например, из репозитория Secure Compatible Encryption Examples от Люка Парка. И, тем не менее, попадаются команды, которые продолжают упорствовать, даже если код еще не ушел в продакшн – а ведь это самое лучшее время для исправления ошибок. Это усложняет всем жизнь: я теряю время на объяснения, что с кодом не всё в порядке, а команде потом приходится делать значительно больше работы, потому что после того как код уходит в продакшн, для исправления криптографии приходится сначала составлять план миграции.
Читать дальше →
Я делаю это не для того, чтобы навлечь позор на людей, которые написали что-то не так. Я просто хочу приложить руку к решению проблемы. За время своей работы в AppSec я очень устал от бесконечных однообразных споров. Я делаю всё, что в моих силах, чтобы люди могли без особых сложностей реализовать всё правильно, в частности, указываю на код, который можно использовать смело – например, из репозитория Secure Compatible Encryption Examples от Люка Парка. И, тем не менее, попадаются команды, которые продолжают упорствовать, даже если код еще не ушел в продакшн – а ведь это самое лучшее время для исправления ошибок. Это усложняет всем жизнь: я теряю время на объяснения, что с кодом не всё в порядке, а команде потом приходится делать значительно больше работы, потому что после того как код уходит в продакшн, для исправления криптографии приходится сначала составлять план миграции.
Читать дальше →
Источник: Хабрахабр
Похожие новости
- Выкрутили автоматизацию на максимум: с чем кроме инвентаризации помог переход на NetBox
- Aisha: Как использование ИИ в переписках с клиентами позволило на 32% увеличить кол-во лидов на покупку квартир в новостройке
- Spark_news: Т-Технологии стали основным владельцем «Точки», выкупив 64- процентную долю
- Spark_news: Ozon fresh и «Ашан» запустили совместный бренд готовой еды
- Нужна новая стратегия: как сегодняшние киберугрозы меняют подходы к управлению доступом
- Steppo: Как Steppo меняет подход к он-бордингу пользователей и сотрудников
- Дисклеймеры в аудиорекламе не выполняют свою функцию
- Доходы фрилансеров за пределами России выросли в среднем на 14%
- Зачем бизнесу E2EE и почему без него сегодня совсем нельзя работать
- Настоящая пекарня: Digital-стратегия для франчайзи: как сделать из пекарни онлайн-магнит и обогнать конкурентов