PHDays 8 में सुरक्षित विकास: पीडीयूजी सामुदायिक बैठक परिणाम

15-16 मई को PHDays साइबर स्पेस फोरम के स्थल पर, सुरक्षित विकास उपयोगकर्ता, सुरक्षित विकास उपयोगकर्ता समूह की अगली बैठक आयोजित की गई। दो-दिवसीय कार्यक्रम में कट्टर की बदलती डिग्री और स्थिर विश्लेषण के लिए समर्पित एक गोल मेज की 11 रिपोर्टें शामिल थीं।

कटौती के तहत, हम बैठक सामग्री साझा करते हैं: रिपोर्ट की प्रस्तुतियाँ और वीडियो रिकॉर्डिंग।

वीडियो से अलग से सभी प्रस्तुतियाँ स्पीकरडेक सामुदायिक चैनल पर उपलब्ध हैं।

पहला दिन

व्लादिमीर कोचेतकोव, सकारात्मक टेक्नोलॉजीज द्वारा उद्घाटन टिप्पणी

क्या स्रोत कोड विश्लेषक का सामान्यीकरण संभव है?

इवान कोचूरिन, सकारात्मक प्रौद्योगिकी

रिपोर्ट में विभिन्न प्रकार के कोड विश्लेषणकर्ताओं पर चर्चा की गई है जो नियमित अभिव्यक्ति, टोकन, पार्स ट्री, डेटा फ्लो ग्राफ़ और प्रतीकात्मक निष्पादन निर्देशों को स्वीकार करते हैं। स्पीकर विभिन्न प्रकार की प्रोग्रामिंग भाषाओं में प्रत्येक प्रकार के विश्लेषक को सारांशित करते समय आने वाली समस्याओं का वर्णन करता है, और समाधान प्रस्तुत करता है। यह उन कमजोरियों और कमजोरियों को भी प्रदर्शित करता है जो प्रत्येक दृष्टिकोण के साथ पाई जा सकती हैं (उदाहरण के लिए, गोटो असफल), खुले स्रोत PT.PM स्रोत विश्लेषक की क्षमताओं, इसके उपयोग और विकास की संभावनाओं का वर्णन करता है।

मिथकों और सुरक्षित विकास की किंवदंतियों

यूरी शबलिन, स्वोर्डफ़िश सुरक्षा

रिपोर्ट के लेखक मुख्य मिथकों और रूढ़ियों के बारे में बात करते हैं जो योजना बनाने और शुरू करने में मुख्य गलतियों के बारे में सुरक्षित विकास की दिशा का पीछा करते हैं।

इन मिथकों, किंवदंतियों और गलतियों के आधार पर, स्पीकर समझाता है कि प्रक्रियाओं की इमारत से कैसे संपर्क किया जाए, क्या ध्यान रखा जाए और कैसे अपनी शक्तियों का सही आकलन किया जाए और सुरक्षित विकास की प्रक्रिया को सही ढंग से शुरू किया जाए। संगठनात्मक उपायों, तकनीकी साधनों (विक्रेताओं को निर्दिष्ट किए बिना), विकास और सूचना सुरक्षा, जागरूकता कार्यक्रमों, पूरी प्रक्रिया का प्रबंधन, और दक्षता मीट्रिक के बीच बातचीत त्रुटियों और उन्हें दूर करने के तरीके के मुख्य उदाहरण के रूप में प्रस्तुत किए जाते हैं।

C ++ में Integer Type Security

इगोर सोबिनोव, सुरक्षा विशेषज्ञ

रिपोर्ट पूर्णांक प्रकारों के ओवरफ्लो पर हमलों से C ++ में अनुप्रयोगों को सुरक्षित करने के मुद्दों के लिए समर्पित है। हमलों के इस वर्ग से जुड़े कमजोरियों के विशिष्ट मामलों, उनके शोषण के संभावित परिणामों और सुरक्षा के तरीकों की जांच की जाती है।

सिद्धांत और व्यवहार में कमजोरता का पता लगाना, या कोई सटीक स्थिर विश्लेषक क्यों नहीं है

यारोस्लाव अलेक्जेंड्रोव, अलेक्जेंडर चेरनोव और एकाटेरिना ट्रोशिना, सौर सुरक्षा

रिपोर्ट एक स्थिर कोड विश्लेषक के बुनियादी सिद्धांतों पर चर्चा करती है, आधुनिक स्थिर विश्लेषणकर्ताओं को रेखांकित करने वाले तरीकों और एल्गोरिदम का एक तुलनात्मक अवलोकन देती है। ठोस उदाहरणों का उपयोग करते हुए, यह दिखाया गया है कि एक स्थिर विश्लेषक कमजोरियों को कैसे देखता है और इस सवाल का जवाब देता है कि कोई आदर्श स्थिर विश्लेषक क्यों नहीं है जो जल्दी से काम करता है, झूठी सकारात्मकता नहीं देता है और कमजोरियों को याद नहीं करता है। लेखक समझाते हैं कि एक स्थिर विश्लेषक को विकास प्रक्रिया में कैसे एकीकृत किया जाए ताकि यह संसाधनों के मामले में कुशल हो और उच्च गुणवत्ता वाले परिणाम दे।

सही स्थिर विश्लेषण

व्लादिमीर कोचेतकोव, सकारात्मक प्रौद्योगिकी

एक उपकरण के रूप में आदर्श सांख्यिकीय विश्लेषण मौजूद नहीं है। लेकिन क्या एक प्रक्रिया के रूप में एक आदर्श सांख्यिकीय विश्लेषण है? किसी व्यक्ति और SAST टूल के बीच इसमें भूमिकाओं का वितरण क्या होना चाहिए? सांख्यिकीय विश्लेषण के कार्य को हल करने के लिए किसी व्यक्ति के लिए इसे यथासंभव आसान बनाने के लिए क्या उपकरण होना चाहिए?

गोल मेज "SAST और SDLC में अपनी जगह"

मॉडरेटर: व्लादिमीर कोचेतकोव, पॉजिटिव टेक्नोलॉजीज
प्रतिभागी: सकारात्मक प्रौद्योगिकी, सॉलिडलैब, Mail.ru, सौर सुरक्षा, पीवीएस-स्टूडियो, आईएसपी आरएएस

---

दूसरा दिन

LibProtection: 6 महीने बाद

व्लादिमीर कोचेतकोव, सकारात्मक प्रौद्योगिकी

स्पीकर पुस्तकालय के सार्वजनिक परीक्षण के परिणामों के बारे में बात करता है, पाया गया विस्तार और उन्हें समाप्त करने के तरीके पर विचार करता है, और वर्तमान वर्ष के लिए पुस्तकालय के विकास की योजना भी प्रस्तुत करता है।

ब्लॉकचैन सर्वसम्मति एल्गोरिदम सुरक्षा मूल बातें

एवेंजेलोस डेरिमेंट्ज़ोग्लू, पॉजिटिव टेक्नोलॉजीज

आम सहमति एल्गोरिदम किसी भी ब्लॉकचेन प्लेटफॉर्म का एक अभिन्न हिस्सा हैं। रिपोर्ट सर्वसम्मति के एल्गोरिदम जैसे कार्य के प्रमाण (कार्य का प्रमाण), प्रमाण का प्रमाण (स्वामित्व का प्रमाण), स्टेक का प्रत्यायोजित प्रमाण (स्वामित्व की प्रत्यायोजित पुष्टि) और प्राधिकरण का प्रमाण (प्राधिकरण का प्रमाण) पर प्रकाश डालती है। इन एल्गोरिदम के बीच के अंतरों का विश्लेषण करते समय, इन तकनीकों पर आधारित प्रणालियों के लिए सबसे आम हमलों पर विचार किया जाता है, जैसे कि डबल-खर्च, 51% हमला, रिश्वत का हमला, सिबाइल हमला, कुछ भी नहीं-एट-स्टेक हमला और अन्य।

अंग्रेजी में रिपोर्ट:


रूसी में रिपोर्ट:

Ethereum स्मार्ट कॉन्ट्रैक्ट में यादृच्छिक संख्याओं का पूर्वानुमान लगाएं

आर्सेनी रुतोव, पॉजिटिव टेक्नोलॉजीज

स्मार्ट अनुबंध केवल क्रिप्टोक्यूरेंसी टोकन के प्रारंभिक प्लेसमेंट के लिए उपयोग नहीं किए जाते हैं। सॉलिडिटी लैंग्वेज एथेरेम ब्लॉकचेन का उपयोग करने वाले किसी व्यक्ति के लिए उपलब्ध विभिन्न लॉटरी, केसिनो और कार्ड गेम को लागू करती है। ब्लॉकचेन की स्वायत्तता यादृच्छिक संख्या जनरेटर (RNG) के लिए एन्ट्रापी के स्रोतों को सीमित करती है। कोई आम पुस्तकालय नहीं है जिसके साथ डेवलपर्स सुरक्षित आरएनजी बनाएंगे।

यह इस कारण से है कि अपने स्वयं के आरएनजी को लागू करने से कई समस्याएं पैदा हो सकती हैं - यह एक सुरक्षित आरएनजी को लागू करने के लिए हमेशा संभव है, जो हमलावरों को परिणाम की भविष्यवाणी करने और पैसे चोरी करने का अवसर देता है। रिपोर्ट जुआ उद्योग के लिए ब्लॉकचेन-आधारित स्मार्ट अनुबंधों का विश्लेषण प्रस्तुत करती है। रिपोर्ट के लेखक ने RNG के अनुचित कार्यान्वयन के वास्तविक उदाहरणों को प्रदर्शित किया है और ब्लॉकचेन की सीमाओं को ध्यान में रखते हुए RNG में समस्याओं की पहचान करने और अपने स्वयं के सुरक्षित जनरेटर बनाने के बारे में बात करते हैं।

मानकीकरण और वस्तु दृष्टिकोण के नुकसान

व्लादिमीर कोचेतकोव, सकारात्मक प्रौद्योगिकी

क्या यह हमेशा पैरामीटर मॉडल का उपयोग करता है और ऑब्जेक्ट मॉडल में संक्रमण होता है जो प्रभावी रूप से एप्लिकेशन सुरक्षा सुनिश्चित करने के कार्यों को हल कर सकता है? इन दृष्टिकोणों में क्या जोखिम हैं? उपयोग करते समय प्रोजेक्ट कोड में कमजोरियां संभव हैं? रिपोर्ट के लेखक विशिष्ट उदाहरणों और वास्तविक मामलों का उपयोग करके इन सवालों के जवाब देते हैं।

Android पर विधि हुकिंग

अलेक्जेंडर गुज़ेंको, टिंकॉफ़

रिपोर्ट का लेखक बताता है कि मेथड हुकिंग और इंजेक्टर क्या हैं, और यह बताएंगे कि कैसे, इन दो अवधारणाओं को जानते हुए, उन्हें एंड्रॉइड पर लागू करें और किसी और के आवेदन को लागू करने के लिए मजबूर करें।

तेज WAF कैसे बनाएं। एक उच्च प्रदर्शन नेटवर्क यातायात विश्लेषण प्रणाली का निर्माण

माइकल Badin, Wallarm

रिपोर्ट में WAF में एक पैकेज को संसाधित करने, एक अनुरोध से आवश्यक जानकारी प्राप्त करने, टोकन प्रक्रियाओं को अनुकूलित करने, नियमित अभिव्यक्तियों के आधार पर फ़िल्टर करने और पोस्ट-प्रोसेसिंग ट्रैफ़िक के हिस्से के रूप में व्यवहार विश्लेषण को लागू करने के मुद्दों पर चर्चा की गई है।


हम एक उत्पादक बैठक के लिए अपने वक्ताओं और प्रतिभागियों का धन्यवाद करते हैं!

यदि आपके पास आयोजकों / वक्ताओं के लिए कोई सवाल है या अगली पीडीयूजी बैठक में अपनी प्रस्तुति देने की इच्छा है, तो pdug@ptsecurity.com पर लिखें ।