Microsoft: codekloppers moeten veiliger programmeren
Het misbruiken van beveiligingslekken in software en webapplicaties is nog altijd een voorname reden waardoor aanvallers toegang tot systemen en netwerken weten te krijgen, toch zijn er nog zeer veel programmeurs die bij het programmeren niet aan security denken. Dat blijkt uit onderzoek dat Microsoft onder 4500 consumenten, IT-professionals en ontwikkelaars liet uitvoeren.
Zo bleek dat bijna de helft (44%) van de ontwikkelaars geen proces volgt om veilig te programmeren. De voornaamste redenen om geen 'security development proces' te gebruiken zijn kosten (34%) en een gebrek aan ondersteuning en training (33%). Een kwart gebruikt dit soort processen niet omdat ze niet door het management zijn goedgekeurd.
Prioriteit
Met name in de Verenigde Staten (76%) en Japan (80%) wordt er geen proces gevolgd voor het opleveren van veilige software. Daardoor hebben aanvallers meer kans om lekken te vinden. "Ondanks deze werkelijkheid, is er een zorgwekkend aantal organisaties dat applicaties ontwikkelt zonder rekening met security te houden", zegt Microsoft's Tim Rains.
Uit het onderzoek kwam ook naar voren dat security voor 42% van de programmeurs geen 'topprioriteit' is bij het kopen of ontwikkelen van software. Verder blijkt dat slechts 66% van de ontwikkelaars altijd rekening met security houdt bij het ontwikkelen van applicaties.
Uiteraard is security geen topprioriteit. Dat is weggelegd voor het doel van het programmeren, het programma zelf.
Ach ja, Microsoft en onvooringenomen onderzoek, dat gaat niet samen.
https://www.security.nl/artikel/45289/1/App-explosie_is_achilleshiel_smartphone.html
"Start bij het programmeren"
Verder heb ik wel redelijk de buik vol van 'processen'. Het is vaak een enorm omslachtige manier om niet te bereiken wat je wilt. Doe maar gewoon mensen die het snappen. Scheelt een hoop gedoe.
Als die dan ook nog het verschil tussen een 'whitelist' en een 'blacklist' kennen, moet het lukken.
Welk percentage van de ontwikkelaars heeft de juiste opleiding gekregen om veilig te kunnen programmeren ?
We hadden laatst een cursus (meer een praatje) hoe je bepaalde dingen moest aan pakken. Ik heb een totaal andere achtergrond dan de meeste van mijn collega's. Ik gebruikte in mijn dagelijks werk een soort gelijke werk methode. Later sprak ik mijn manager en ik vertelde hum dat het mij verbaasde dat eens soort gelijke methode nog niet gebruikt werd maar dat ik het goed vond dat het ging gebeuren en dat de nieuwe methode meer een management methode was, dan mijn methode. Ik doelde hier op dat iedereen de zelfde methode gebruikt dat als je iemands werk over neemt (om wat voor reden dan ook) alles terug te vinden is. Dat ik het een management methode noemde maakte hij op dat ik het slecht vond. Dit was dus niet zo. Ik vind alleen dat goed werken van uit de mensen moet komen en dat de manager dit stroomlijnt dat al het werk goed op elkaar aan sluit. Je verschuilen acht dat er regels van uit het management komen vind ik net zo dom als een manager die van boven af regels op legt.
Ik dacht ook eerst dat MS vond dat hun codekloppers meer eer in hun werk moesten krijgen.
Maar nu blijven er slechts een paar spreek woorden hangen.
De pot verwijd te ketel dat hij zwart ziet.
En men ziet wel de splinter in een ander oog maar niet de balk in het eigen.
Je kunt de automonteur wel aan het werk zetten met alleen een waterpomptang maar dan draait ie ook
de boutkoppen kapot.
Als een programmeur gaat werken met PHP met de mysql_xxxx functies zoals in alle "hoe leer ik PHP
in een dag" boekjes wordt uitgelegd dan moet je niet gek kijken als er SQL injectie mogelijk is.
Idem voor ASP als er gebruik gemaakt wordt van simplistische "execute this string as SQL query" functies
zoals je bijvoorbeeld in Visual Basic hebt.
Dat soort crap is gewoon ontoereikend om fatsoenlijk werk te leveren, het is de waterpomptang van het programmeren.
Mensen gebruik toch een SQL prepared statement interface. Laat je niet verleiden tot mysql_query zelfs
al heb je de meest hippe quoting functie in gebruik, het gaat altijd een keer fout.
Het maakt niet uit of je code klopt of straatstenen.
Je krijgt een opdracht, je verteld dat dat niet KAN werken.
Dan mag je kiezen ontslag op staande voet (werk weigeren) of toch uitvoeren.
Bij uitvoeren zorg je dat je ingedekt ben zodat je niet de schuld en ontslag op staande voet krijgt!
Uiteindelijk krijgt de manager een standje, en hij mag je niet ontslaan want je bent een goede kracht.
Dus wordt je weg getreiterd, geen goed "gereedschap" wel shit klussen.
Dat is het LEVEN van de FLEXwerker. Het gebeurde mij 5 x in 8 jaar (meet en regel techniek)
Is het niet zo dat werkgever A een werkend product wil hebben, programmeur A, in dienst van werkgever A doet dit en stopt de beveiliging er vaak meteen in. Of kan dit achteraf toevoegen.
De praktijk.
Opdrachtgever A wil een werkend product, programmeur B van werkgever B doet dit als inleenkracht.
Opdrachtgever A wil na oplevering ook een veilig product, was hij vergeten te melden,
programmeur B berekent in overleg met zijn werkgever B nu ineens extra tijd en geld, want dat stond niet in de product omschrijving.
Je krijgt wat je vraagt denk ik soms.
Is de NSA de enige partij ter wereld tegen wie je gegevens wilt gebruiken ? Of denk je, als de NSA toegang heeft, dan moeten criminelen er ook bij kunnen ? De politie kan jouw voordeur ook openkrijgen; toch neem ik aan dat jij je deur op slot doet.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.