Copy/Paste ist eine gefährliche Codierungstechnik

Forscher von VirginiaTech veröffentlichten eine Papier nach der Analyse von Hunderten von Beiträgen im beliebtesten Entwicklerforum (Stack Overflow). Sie befassten sich mit der Art der Fragen, die zum Thema Sicherheit gestellt werden, mit den beliebtesten Antworten der Community und mit den Auswirkungen, die dies auf Programmierer hat.

Keine wirkliche Überraschung für Leute, die schon eine Weile im Bereich Cybersicherheit tätig sind, aber aus Entwicklersicht ist mehr Bewusstsein für dieses Problem erforderlich:

• Sicherheitsfunktionen, die von Coding-Frameworks (z. B. JAVA Spring) bereitgestellt werden, sind zu kompliziert und schlecht dokumentiert
• Eine beträchtliche Anzahl von Entwicklern scheint die Auswirkungen von Codierungsoptionen auf die Sicherheit nicht zu verstehen, was auf einen Mangel an Cybersicherheitsschulungen hindeutet
• Viele der Vorschläge und „Korrekturen“ in diesen Foren sind nicht sicher, aber wir haben positive Stimmen erhalten und somit höhere Bewertungen.

Der Bericht schlägt die folgenden Lösungen vor:

• Umschulung der Belegschaft
• Halbautomatische Erkennung und Behebung von Sicherheitslücken

Wir müssen die Sicherheit für Entwickler einfach und von Anfang an integrieren, um die Geschwindigkeit aufrechtzuerhalten, mit der Unternehmen heute arbeiten.

„Die Bedeutung dieser Arbeit besteht darin, dass wir empirische Beweise für eine erhebliche Anzahl alarmierender Probleme mit der sicheren Codierung geliefert haben, über die bisher nicht berichtet wurde“, heißt es in dem Artikel. „Diese Probleme haben eine Vielzahl von Gründen, darunter den schnell steigenden Bedarf an Sicherheitsanwendungen für Unternehmen, den Mangel an Sicherheitsschulungen der Mitarbeiter in der Softwareentwicklung und schlecht konzipierte Sicherheitsbibliotheken.“

https://www.theregister.com/2017/09/29/java_security_plagued_stack_overflow/