The EVerest Dataset for Secure Software Engineering
Il documento presenta il dataset EVerest, una risorsa multi-artefatto unica che comprende requisiti di sicurezza, modelli architettonici e codice sorgente di uno stack di ricarica per veicoli elettrici, il quale abilita la ricerca sulla verifica della sicurezza end-to-end e ha facilitato la scoperta e la risoluzione di una vulnerabilità di sicurezza reale.
Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Immagina di stare costruendo una stazione di ricarica per veicoli elettrici ad alta tecnologia. Per assicurarti che sia sicura dagli hacker, devi controllare tre diversi livelli del tuo progetto:
- La Lista dei Desideri: Ciò che gli sviluppatori dicono di volere (ad es., "Deve essere sicuro").
- Il Progetto: I disegni architettonici che mostrano come si collegano le parti.
- I Mattoni: Il vero codice informatico che fa funzionare la macchina.
Il problema è che la maggior parte degli strumenti di ricerca guarda solo uno di questi livelli. Possono avere una lista di desideri, o un mucchio di codice, ma non hanno mai tutti e tre collegati insieme. È come cercare di riparare un tetto che perde guardando solo i progetti, senza mai controllare le tegole vere o la lista dei reclami del proprietario di casa.
Il Dataset EVerest è un nuovo, enorme toolkit "tutto in uno" creato dai ricercatori del Karlsruhe Institute of Technology per risolvere questo problema. Collega la Lista dei Desideri, il Progetto e i Mattoni per un vero progetto software open-source chiamato EVerest (che controlla i caricatori per veicoli elettivi).
Ecco come l'hanno costruito, usando un'analogia semplice:
1. Raccogliere la "Lista dei Desideri" (Requisiti)
Per prima cosa, i ricercatori dovevano sapere quali regole di sicurezza il progetto richiedeva effettivamente.
- Il Sondaggio: Hanno inviato un questionario alla comunità di sviluppatori, chiedendo: "Quali sono gli obiettivi di sicurezza?". (Come chiedere: "Vuoi che la porta sia chiusa a chiave?"). Questo ha fornito una lista approssimativa di 67 idee.
- L'Intervista: La lista approssimativa era troppo vaga. Così, si sono seduti con quattro sviluppatori esperti per conversazioni approfondite. Hanno preso quelle idee grezze e le hanno perfezionate in istruzioni specifiche, come cambiare "Chiudi la porta" in "Il modulo OCPP deve rifiutare input malformati dal CSMS".
- Il Risultato: Sono arrivati a 84 requisiti di sicurezza precisi.
2. Disegnare il "Progetto" (Architettura)
Il progetto EVerest non aveva una mappa architettonica formale; aveva solo del codice.
- La Traduzione: Tre studenti, supervisionati da esperti, hanno esaminato il codice sorgente e hanno costruito manualmente un modello a componenti Palladio. Pensa a questo come al prendere un mucchio di mattoncini LEGO e disegnare un diagrammo dettagliato che mostra esattamente come ogni pezzo si collega, come fluiscono i dati tra di loro e come comunicano tra loro.
- Il Risolo: Un progetto digitale con 29 componenti e 144 descrizioni dettagliate dei servizi.
3. Etichettare i "Mattoni" (Codice ed Elementi)
Ora, dovevano collegare i puntini tra la Lista dei Desideri e il Progetto.
- Il Gioco delle Etichette: Tre persone hanno esaminato gli 84 requisiti e hanno evidenziato parole specifiche. Hanno etichettato elementi come "componenti", "dati", "stati" e "flussi di dati".
- La Traccia: Hanno disegnato linee digitali (collegamenti di traccia) che collegavano una specifica frase nel requisito (ad es., "Il fornitore di pagamenti deve essere sicuro) direttamente alla parte specifica del progetto e al codice che gestisce il pagamento.
- Il Risultato: Hanno etichettato 1.445 piccoli elementi di sicurezza, creando una vasta rete di connessioni.
Il Test nel Mondo Reale
La parte migliore di questo dataset non è solo che esiste; è che ha effettivamente trovato un bug reale.
Mentre costruivano il dataset, i ricercatori hanno notato una discrepanza. Uno dei requisiti diceva: "I token di autenticazione non devono essere memorizzati in testo in chiaro". Tuttavia, quando hanno guardato il codice effettivo (i "mattoni"), hanno trovato una riga in cui il codice stava memorizzando i token in testo in chiaro.
- La Correzione: Hanno segnalato la cosa ai manutentori del progetto. Gli sviluppatori hanno confermato che si trattava di una reale debolezza (nota come CWE-1295) e l'hanno corretta immediatamente.
Perché Questo è Importante
Prima di questo, i ricercatori che cercavano di costruire strumenti per controllare automaticamente la sicurezza del software dovevano indovinare come i requisiti, il design e il codice fossero correlati tra loro perché nessun dataset forniva tutti e tre.
Il dataset EVerest è come un manuale di istruzioni completo e etichettato per l'IA e i ricercatori. Permette loro di esercitarsi nel:
- Insegnare ai computer a comprendere i requisiti di sicurezza.
- Trovare automaticamente dove un requisito viene implementato nel codice.
- Verificare se il software finale corrisponde effettivamente alle promesse di sicurezza originali.
In breve, il documento presenta una risorsa unica e multistrato che colma il divario tra ciò che il software dovrebbe fare, come viene progettato e come viene costruito, dimostrandone il valore individuando un buco di sicurezza reale durante il processo.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.