أكثر الأخطاء البرمجية خطورة

الملف الشخصي · 03-28-2011 10:40 PM

أكثر الأخطاء البرمجية خطورة

السلام عليكم ورحمة الله وبركاته :

أكثر الأخطاء البرمجية خطورة

المقدمة:

تطوير البرمجيات هي عملية معقدة, و بزيادة تعقيد المشاكل و التصميم و البرامج تزيد نسبة صعوبة اكتشاف الأخطاء في النظام من قبل المبرمج مما يسبب أخطاء و فشل في النظام. إحدى عواقب فشل النظام مايسمى بالثغرات الأمنية وهي عبارة عن انتهاك و اختراق لسياسة الحماية و هذا مايكون عادة بسبب ضعف في قواعد الحماية أو مشكلة في البرنامج نفسه. نظريا, تعتبر جميع أنظمة الحاسبات تحتوي على ثغرات أمنية تتراوح مابين ثغرات أمنية تسبب أضرار جسيمة إلى بسيطة. و من خلال الاستيعاب و الفهم الكامل لطبيعة و مظهر الثغرات نستطيع أن نقلل و نمنع الثغرات الأمنية من الحصول أو بالأصح حل المشكلة بسرعة عند اكتشافها.
مؤخراً تم اكتشاف أن معظم الثغرات الأمنية التي يتم استغلالها من قبل المخترقين هي ثغرات أمنية نشأت من أخطاء برمجية و هي عادةً ماتكون سهلة الإيجاد و سهلة الاستغلال و قد قامت جميع المنظمات المعنيّة بالحماية بإعلان قائمة تحوي اخطر الأخطاء البرمجية و كيفية حل هذه الأخطاء. هذه القائمة تساعد مشتري البرمجيات في شراء برمجيات أكثر أمانا, وأيضا تعطي المبرمجين أدوات لقياس مستوى الحماية للبرامج التي يقومون بكتابتها, بالإضافة إلى أن الجهات التعليمية ستكون قادرة على تعليم البرمجة الآمنة بثقة عالية.
وقد سُئلت بعض المنظمات عن سبب اعتقادهم أن هذا المجهود كان هاماً بالنسبة لهم , وعبرت شركه مايكروسوفت عنه قائلة "إن مشروع الكشف عن قائمة ال 25 خطأ برمجي هو مصدر عظيم لمساعدة مطوري البرمجيات في اكتشاف الثغرات الأمنية".

قائمة الـ25 خطأ برمــجي:

احتوت القائمة على خمسة وعشرين خطأ برمجي تم تقسيمها على ثلاثة أنواع: أولا,مايسمى بالتعاون الغير الآمن بين العناصر و هي ترتبط بالطرق الغير آمنه لإرسال واستقبال البيانات بين العناصر (برامج, عمليات) و يحتوي على تسعة أخطاء .ثانياً, إدارة المصدر الخطر و يرتبط بالطرق الغير صحيحة التي يقوم فيها البرنامج بخلق أو استخدام أو إرسال مصادر النظام الهامة ومنه تسعة أخطاء. ثالثاً, الدفاعات المسامية و ترتبط بالطرق الدفاعية التي يتم استخدامها بطرق غير صحيحة وتحتوي على سبعة أخطاء. وسأذكر بعضاً من الأخطاء البرمجية تحت كل نوع لتوضيح هذه الأخطاء.

التعاون الغير امن بين العناصر:

من أهم أنواع الأخطاء البرمجية التي تندرج تحت التعاون الغير امن بين العناصر هو فشل المحافظة على شكل الطلب من قاعدة البيانات أو ما يسمى بـ( حقن الSQL ) و بأبسط طريقة يقوم فيها المخترق بإدخال علامة التنصيص ‘في أماكن إدخال البيانات سواء محرك بحث أو في رابط ، وبعدها يضيف المخترق ما يريد سرقته أو التلاعب به من قاعدة البيانات .و هناك عدة طرق لمنع و تقليل هذه الثغرة الأمنية التي تحصل عادة في صفحات الويب ذات المحتوى الديناميكي منها اعتماد خطة معينة في في إعطاء المستخدمين اقل صلاحية يحتاجونها لإتمام أعمالهم واستخدام حساباتهم, استخدام طريقة معينة للتأكد من المدخلات مثلا التأكد من الطول و النوع قبل حصول أي عمليات , و أخيرا استخدام تطبيقات الجدار الناري التي تستطيع أحيانا الكشف عن الأخطار التي تواجه هذه الثغرات. فشل المحافظة على شكل صفحة الانترنت وما يسمى بـ(cross-site scripting) وهي من اخطر الثغرات التي تواجه تطبيقات الويب لأنه في حال استخدام الكثير من تقنيات الويب سيكون المصمم غير منتبه لما قد يواجهه من ثغرات ,بالتالي يقوم المخترق بحقن صفحاتك ببرامج خبيثة بحيث لا يكتشفها المصمم ,فعندما يقوم اى شخص بتصفح موقعك يتم تنفيذ البرنامج الخبيث, فيكون موقعك قد نفّذ كود لم تقم بكتابته.لتقليل خطر هذه الثغرة من الأفضل استخدام أدوات تشفير قوية مثل(ISO-8859) و استخدام الجدار الناري الذي يستطيع اكتشاف مثل هذه الثغرات. إرسال المعلومات الهامة من دون تشفيرها هي إحدى المشاكل التي يمكن أن تقوم بها بعض البرامج فيستطيع المخترق من خلال هذه الثغرة أن يعترض هذه المعلومات وهي في طريقها للوصول إلى المرسل إليه ويقوم بتجميعها وهي تعتبر من أسهل الطرق ولا تحتاج إلى جهد كبير لحصول على هذه المعلومات.و لمنع هذه الثغرة من الحصول يجب استخدام طرق قويه لتشفير للبيانات قبل إرسالها وأيضا إعداد الخادم بحيث يستخدم طرق لتشفير القنوات ليتمكن من إرسال المعلومات بطرق آمنه. عند تصميم رسائل الأخطاء قد لا يتوقع المبرمج أن المعلومات التي تحتويها يمكن أن تمكّن المخترق من استغلالها و استخلاص معلومات هامه كمعلومات للتعريف بالشخص أو إعدادات الخادم. بالتالي نستطيع تفادي هذه المشكلة من خلال التأكد أن هذه الرسائل تحوي على اقل مايمكن من المعلومات التي تفيد الشخص لفهم الخطأ الذي ظهر له.

إدارة المصدر الخطــر:

إدارة المصدر الخطر هي إحدى أنواع الأخطاء البرمجية ومن أنواعها أولا, فشل وضع العمليات في حدود الذاكرة المخصصة لها فيقوم المخترق باستغلال هذا الخطأ وتعديل المعلومات الموجودة في نظام التشغيل كإعطاء أشخاص صلاحيات للدخول لملفات معينه أو أيضا تدمير القرص الصلب. مثل هذا التعديل قد لاينتبه له المبرمج من أول أو ثاني مراجعه للكود لان المخترق قام بعمل هذا التعديل بطرق فنيه بحيث لايتم اكتشافه بسهوله , وتفادي هذا الخطأ البرمجي يمكن أن يكون من خلال استخدام لغة برمجية فيها العديد من المزايا والتي تستطيع اوتوماتيكياً التقليل من مشكله (buffer overflow) مثل لغة جافا. ثانياً, طريق البحث الغير موثوق, فالبرنامج يعتمد على الشخص في تزويده بطريق البحث لتسهيل إيجاد المصادر المهمة كمكتبات الكود أو إعدادات الملفات وعندما يتحكم المخترق بطريق البحث بالتالي يستطيع تعديله ليؤشر على ملفات أخرى يختارها المخترق , وهذا يمكن أن يجعل البرنامج أن يدخل على المصدر الخاطئ في الوقت الخاطئ. لمنع هذه الثغرة من استغلالها من الأفضل استخدام الطريق الكامل(path) للملفات عند مناداتها, والتأكد من طريق الملفات قبل استخدامها وتعديلها. ثالثاً تحميل الاكواد بدون التأكد من صحتها, فعندما يقوم الشخص بتحميل اكواد من مواقع معينه فإنه بالتالي يثق في هذا الموقع ويثق في الكود المحمّل انه ليس برنامج خبيث, ولكن عند تحميلك لمثل هذه الاكواد من الممكن أن يقوم المخترق بخداعك وتعديل هذا الكود قبل الوصول إليك فمن الممكن أن يقوم المخترق باختراق موقع التحميل أو التغيير في معلومات الخادم لتحويل الشخص إلى موقع آخر غير موثوق أو أيضا تعديل الكود وهو في طريقه إليك , و عندما تقوم بتحميل هذا البرنامج وتنفيذه يحصل مالم تكن تتوقعه , بالتالي التأكد من صحة الموقع وانه لم يتم تحويلك إلى صفحة أخرى و تشفير الكود قبل إرساله هما إحدى الطرق لتفادي التعرض لمثل هذه الثغرة الأمنية. رابعاً, الحساب الخاطئ ,قد يقوم الكومبيوتر بعمل عمليات حسابية تكون نتيجتها غير منطقيه رياضياً مثل ضرب رقمان موجبان كبيران وتكون النتيجة صغيره جداً لحصول integer overflow وأيضا القسمة على صفر , فعندما يكون المخترق له القدرة على التحكم بالمدخلات التي تستخدم في العمليات الحسابية فإنه بالتأكيد سيقوم باستغلال هذه الثغرة الأمنية في البرنامج واستخدام القسمة على الصفر مما يجبرك على القيام بقرارات يمكن أن تؤثر على الحماية وتسبب توقف البرنامج. و لمنع هذه الثغرة الأمنية من استغلالها يجب على المبرمج أن يقوم بالتأكد من المدخلات قبل ان يتم استخدامها في الحسابات الرياضية .

الدفاعات المسامية:

واخيراً , الدفاعات المسامية و من أنواعها أولا, عدم التحكم بالدخول للمصادر بطريقة صحيحة فإن لم يقم الشخص بالتأكد من أن مستخدمي برنامج معين لهم صلاحيات بما هم مخولون بفعله فقط فالمخترق سيقوم باستغلال هذه الثغرة والدخول على مصادر خاصة بمستخدمين محدودين. استخدام طريقة إسناد الصلاحيات على حسب الدور الذي يلعبه الشخص في منظمة معينة هي من أفضل الطرق لتفادي حصول مثل هذه المشكلة. ثانياً, استخدام خوارزميات تشفير خطرة فعندما يريد الشخص أن يرسل معلومات هامه يجب أن يشفرها قبل إرسالها لحمايتها , وقد يقوم الشخص باستخدام خوارزمية جديدة من ابتكاره لجعله أصعب على المخترقين فك الشفرة ,لكن بذلك تكون قد وُضعت محط نظر المخترقين وبالتالي سوف يحاولون بشتى الطرق وبحكم خبرتهم الرياضية فكها لذا من الأفضل عدم ابتكار خوارزميات تشفير بنفسك لأنه سيقوم المخترقون باستغلالها وفكها بسرعة.

الخاتمة:

في النهاية, هدف هذه القائمة هو إيقاف الثغرات في الاكواد عن طريق تعليم المبرمجين كيفية التقليل من هذه الأخطاء بالتالي يجب على جميع المهتمين بحماية برامجهم باستخدامها و الالتزام بها .و يستطيع مستخدمي البرامج استعمال هذه القائمة لمساعدتهم لطلب برامج أكثر أمانا. وأيضا تعتبر القائمة أداة مهمة لدى مديري البرامج لقياس تقدم جهدهم في حماية برنامجهم.

ادارة سكيورتي العرب