pte20071123004 Technologie/Digitalisierung

Standards für sichere Programmierung geplant

SANS Institute bietet ab Dezember entsprechende Tests an


Java: Programmierung soll sicherer werden (Foto: java.net)
Java: Programmierung soll sicherer werden (Foto: java.net)

Bethesda (pte004/23.11.2007/06:15) Das SysAdmin, Audit, Network, Security (SANS) Institute http://www.sans.org hat Initiativen des Secure Programming Council (SPC) für Web-Sicherheit bekannt gegeben. Das SPC plant Standards einzuführen, nach denen die Kenntnisse von Software-Entwicklern zu sicherem Programmieren speziell für Web-Anwendungen getestet werden können. Insgesamt sollen sechs entsprechende Richtlinien eingeführt werden. Ein Entwurf zu sicherer Programmierung unter Java und JavaEE wurde bereits vorgestellt. Vergleichbare Richtlinien für sichere Programmierung in C, C++, .Net, PHP und Perl sollen folgen.

Als erstes hat das Secure Programming Council einen Entwurf über "Essential Skills for Secure Programmers Using Java/JavaEE" vorgestellt. Das entsprechende Dokument wurde auf der Website des SANS Software Security Institute http://www.sans-ssi.org veröffentlicht. Zu wichtigen Fähigkeiten zählen demnach unter anderem Validierungs-Techniken im Bereich Datenverarbeitung, Kenntnisse über Zugriffskontrolle und ein Verständnis, wann und wie Datenverschlüsselung eingesetzt werden muss. Der Entwurf ist für Kommentare freigegeben. Bis zum 1. Dezember eingehende Vorschläge sollen in der nächsten Version passend berücksichtigt werden und die Standards so weiter verbessern.

Zur Überprüfung der definierten, essenziellen Fähigkeiten von Programmierungen hat das Secure Programming Council laut Essential-Skills-Dokument bereits Tests entworfen. Unter Aufsicht des SANS Institute werden entsprechende GIAC-Secure-Software-Programmer-Prüfungen noch in diesem Jahr, am 5. Dezember in London und am 12. Dezember in Washington D.C., abgehalten. Zu diesen Terminen wurden vom SANS Institute neben den Java/JavaEE-Prüfungen auch schon entsprechende C-Prüfungen angekündigt.

"Ein Großteil der Sicherheitslücken in Web-Anwendungen ist unserer Erfahrung nach auf die Entwickler zurückzuführen", meint Franz Wagner, Senior Sales Engineer bei der Internet Security AG http://www.internet-security.at , im pressetext-Gespräch. Er will die SPC-Initiativen nicht direkt kommentieren, meint aber: "Entsprechende Wissensstandards zu definieren und zu testen, ist sicher ein Anfang, um die Situation zu verbessern." Skeptischer gibt sich Robert Kaiser, Entwickler bei SeaMonkey http://www.seamonkey.at . "Ob ein Programmierer über mögliche Sicherheitsprobleme seines Codes Bescheid weiß, hat fast keinen Einfluss darauf, ob er dann solche Probleme vermeidet", so Kaiser gegenüber pressetext.

Am Secure Programming Council sind über 40 Organisationen beteiligt, darunter Booz Allen Hamilton, Ounce Labs, Deloitte and Touche, Kaiser Permanente, Firsthand Technologies, OWASP, Morgan Stanley, Tata Consulting, Neohapsis, Watchfire, Fortifyi, Amazon und Stach & Liu.

(Ende)
Aussender: pressetext.austria
Ansprechpartner: Thomas Pichler
Tel.: +43-1-811-40-300
E-Mail: pichler@pressetext.com
|