使用 BogoSec 分析軟件安全性

BogoSec 是一個源代碼評測工具，它封裝了很多源代碼掃描程序，會對目標代碼調用這些程序，并得到一個最終分數，從而近似地反映代碼的安全質量。本文討論了 BogoSec 所采用的方法和實現，并給出了對很多測試用例運行 BogoSec 的結果，包括 Apache Web server、OpenSSH、Sendmail、Perl 等。

背景知識

CERT Coordination Center（CERT/CC）在 2005 年報告了 5,990 個漏洞，而在 1995 年，只報告了 171 個。很多的軟件安全性漏洞都是由于編程習慣不好而產生的。有些漏洞可以使用專門為識別潛在安全性問題而設計的靜態源代碼掃描程序通過算法分析而檢測出來。隨著每行代碼中可能存在安全漏洞的代碼的數量和嚴重程度的增加，我們有理由相信源代碼在安全性方面的總體質量正在降低。BogoSec 的測試結果就是一些計算出來的數值，它們試圖反映對源代碼安全質量的相關評價，從而可以將這些結果進行比較分析。

BogoSec 的動機是讓開發人員可以隨著時間的推移而不斷編寫出更加安全的源代碼。其中有很多掃描程序，它們可以向開發人員指出代碼中可能不安全的地方；不過開發人員通常都不會主動使用這些掃描程序，因為它們有時會輸出一些錯誤的報告，并且使用起來也有一些困難。BogoSec 試圖減少誤報的情況，并通過使用多個獨立的掃描程序來擴展對源代碼進行掃描的范圍。這樣可以生成高級的評測結果，讓開發人員和用戶可以從安全性的角度對源代碼的質量進行比較判斷。

回頁首

下載

描述	名字	大小	下載方法
Article in PDF format	l-bogosec.pdf	662KB	linux/l-bogosec.pdf">HTTP

原文轉自：http://www.anti-gravitydesign.com