Evaluating Cryptographic API Misuse Detectors for Go
Questo articolo presenta il primo studio completo sull'uso improprio delle API crittografiche in Go, stabilendo una tassonomia di 14 classi di uso improprio, valutando quattro strumenti di rilevamento su 328 progetti e identificando 7.473 vulnerabilità per evidenziare significative lacune nella copertura attuale dei rilevamenti.
Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Immagina di costruire una fortezza. Hai le serrature migliori e più sicure al mondo (API crittografiche) per proteggere il tuo tesoro. Ma, se installi la serratura al contrario, usi una chiave fragile o dimentichi di chiudere e assicurarlo con un chiavistello, la tua fortezza è vulnerabile esattamente come se non avessi alcuna serratura. È ciò che accade quando gli sviluppatori "usano male" gli strumenti crittografici: pensano di essere al sicuro perché hanno utilizzato la tecnologia giusta, ma hanno commesso un errore nel modo in cui l'hanno utilizzata.
Questo articolo è come un controllo di qualità per un tipo specifico di materiale da costruzione: il linguaggio di programmazione Go. Go è il linguaggio utilizzato per costruire alcune delle infrastrutture più critiche di Internet (come i sistemi che gestiscono il traffico internet o proteggono i data center). Mentre gli esperti hanno studiato questi "errori di installazione delle serrature" in altri linguaggi (come Java) per anni, nessuno aveva realmente ispezionato i cantieri Go fino ad ora.
Ecco cosa hanno fatto i ricercatori, spiegato in modo semplice:
1. Gli Ispettori (Gli Strumenti)
I ricercatori hanno raccolto quattro diversi "ispettori di sicurezza" (strumenti software) per scansionare il codice Go alla ricerca di questi errori:
- CodeQL: Un ispettore potente, di stampo accademico, che esamina come i dati fluiscono attraverso il codice.
- Gopher: Uno strumento specializzato costruito appositamente per Go, noto per essere molto aggressivo nel trovare potenziali problemi.
- Gosec: Uno strumento popolare, sviluppato dalla comunità, che verifica la presenza di errori di sicurezza comuni.
- Snyk Code: Uno strumento commerciale che utilizza l'intelligenza artificiale e l'analisi statica per trovare bug.
2. Il Progetto (La Tassonomia)
Prima di iniziare la scansione, i ricercatori hanno creato una lista di controllo principale di 14 modi diversi in cui uno sviluppatore può sbagliare la crittografia. Pensate a questa come a un elenco di errori comuni, come:
- Utilizzare una serratura troppo vecchia e debole (Algoritmi insicuri).
- Utilizzare una chiave troppo corta o facile da indovinare (Lunghezza della chiave insufficiente).
- Dimenticare di verificare se la persona alla porta è effettivamente chi dice di essere (Nessuna convalida della chiave dell'host).
- Utilizzare un pattern prevedibile per il meccanismo della serratura (Vettori di inizializzazione prevedibili).
3. L'Ispezione (L'Esperimento)
Hanno preso 328 progetti Go reali e popolari (come il software che esegue Kubernetes o Terraform) e hanno fatto eseguire tutti e quattro gli ispettori su di essi.
- Il Risultato: Gli ispettori hanno individuato un totale di 7.473 errori.
- La Sorpresa: Gli ispettori non erano affatto d'accordo tra loro.
- Gosec è stato il più attivo, trovando il maggior numero di errori, ma ha anche segnalato molte cose che non erano effettivamente pericolose (come trovare una "serratura debole" in un file di codice di esempio che nessuno userebbe mai nella vita reale).
- Gopher ha trovato un insieme unico di errori che gli altri hanno mancato, ma a volte si è bloccato o non è riuscito a eseguire su determinati progetti.
- Snyk Code è stato molto veloce e preciso, trovando meno errori ma essendo molto sicuro di quelli che ha individuato.
- CodeQL è stato il più lento (richiede molto tempo per configurare il suo "database" del codice) ma ha trovato alcuni errori molto specifici e complessi che gli altri hanno mancato.
4. Il Verdetto
Il punto principale è che nessun singolo ispettore è perfetto.
- Se usi solo uno strumento, potresti perdere un enorme buco nel tuo muro perché quello strumento non sapeva come cercarlo.
- Se li usi tutti quanti, ottieni un sacco di "falsi allarmi" (avvisi su cose che non sono effettivamente rotte), che possono essere travolgenti.
I ricercatori hanno scoperto che gli strumenti spesso non erano d'accordo sul fatto che un pezzo specifico di codice fosse effettivamente un errore. Ad esempio, uno strumento potrebbe dire: "Questa chiave è troppo corta!" mentre un altro dice: "Va bene".
La Conclusione
Questo studio è la prima volta che qualcuno controlla sistematicamente quanto bene possiamo trovare questi specifici errori di sicurezza nel codice Go. Hanno scoperto che, sebbene abbiamo strumenti per aiutare, attualmente sono come un gruppo di ispettori che parlano lingue diverse e hanno definizioni diverse di come appare una "serratura rotta".
Per mantenere sicuri i sistemi basati su Go, gli ingegneri della sicurezza non dovrebbero affidarsi a un solo strumento. Invece, dovrebbero utilizzare una combinazione di questi strumenti (un "insieme") per catturare la rete più ampia di errori, comprendendo al contempo che dovranno revisionare manualmente i risultati per separare i pericoli reali dai falsi allarmi.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.