Perspectivas sobre códigos seguros

Las organizaciones entienden que los principios de seguridad desde el diseño sólo se aplican con éxito a través de la seguridad impulsada por los desarrolladores. Después de todo, los desarrolladores son los que diseñan, construyen y, en última instancia, comprometen el código que alimenta el software de una organización. Garantizar que estos inestimables colaboradores tengan los conocimientos y habilidades necesarios para aplicar las mejores prácticas de código seguro es absolutamente fundamental. Sin embargo, el reto de lograr este objetivo se reduce a alinear los conocimientos y habilidades de codificación segura de los desarrolladores con los lenguajes de programación que utilizan cuando construyen el software. No es una tarea fácil ni siquiera para las organizaciones más maduras.

Este reto se complica aún más por el gran volumen y la mezcla de lenguajes de programación que se utilizan en la base de código de una organización, a menudo con total desconocimiento de los equipos de seguridad. Entonces, ¿cómo pueden los CISO, AppSec y los líderes de ingeniería garantizar que el código que se está produciendo y confirmando está respaldado por el conocimiento y las habilidades de código seguro de un desarrollador en el lenguaje de programación específico de esa confirmación?

Presentación de SCW Trust Agent

Secure Code Warrior lanzó SCW Trust Agent para responder a esta difícil pregunta. SCW Trust Agent ofrece a los responsables de la seguridad la visibilidad y el control necesarios para ampliar la seguridad impulsada por los desarrolladores, lo que permite a estos y a los equipos entregar código más rápidamente al tiempo que mantienen y mejoran la seguridad de lo comprometido.

¿Cómo funciona el agente fiduciario SCW?

SCW Trust Agent descubre y se conecta a sus repositorios de código para evaluar los metadatos presentes en cada confirmación de código. Inspecciona el desarrollador que realizó la confirmación, el lenguaje o marco de trabajo utilizado y la fecha exacta en la que se confirmó el código. A continuación, combina este análisis con los datos y la información de la Learning Platform líder del sector de SCW para determinar si el desarrollador tiene suficientes conocimientos de seguridad en ese lenguaje de programación específico. Basándose en esta información, devuelve una calificación sobre la salud de ese commit, en función de la política establecida por la organización. Estas políticas son personalizables y configurables, lo que permite a los equipos establecer directrices y requisitos específicos para los commits que pueden tener un umbral más alto o más bajo de conocimiento de código seguro por parte del desarrollador en función de la sensibilidad general de ese proyecto o repositorio.

Gobernanza y control al siguiente nivel

Basándose en esta potente visibilidad, Trust Agent ofrece un gobierno integrado a escala a través de sus flexibles funciones de control de políticas. Esta innovadora función permite a las organizaciones y a los equipos aplicar y mantener de forma proactiva sus normas de codificación segura directamente en el nivel de confirmación. Si un desarrollador intenta confirmar código en un lenguaje o marco de trabajo en el que sus habilidades de codificación segura no cumplen los requisitos predefinidos de una organización, Trust Agent puede activar automáticamente una acción configurable: registrar el evento para su revisión, emitir una advertencia directa o incluso bloquear la solicitud de extracción por completo.

Estas puertas de seguridad adaptables pueden aplicarse a cualquier repositorio basado en Git, ofreciendo un punto de control vital, especialmente para aplicaciones críticas para el negocio o aquellas con estrictas exigencias de cumplimiento, como PCI-DSS 4.0 que prescribe formación en seguridad específica para cada idioma en el requisito 6.2.2. Al definir con precisión los niveles de confianza basados en el apetito de riesgo de una organización, Trust Agent garantiza que sólo entre en sus repositorios más importantes el código procedente de desarrolladores con conocimientos validados de codificación segura, lo que refuerza fundamentalmente la postura de seguridad.

Optimizar el ciclo de vida del desarrollo

Este enfoque proactivo que permite SCW Trust Agent no sólo mejora la postura general de seguridad de una organización, sino que también impulsa optimizaciones en el ciclo de vida de desarrollo. Al garantizar que los desarrolladores tienen conocimientos y habilidades de código seguro en el lenguaje de su compromiso, se puede reducir en gran medida el número de vulnerabilidades introducidas que más tarde tendrían que ser identificadas y remediadas. La remediación y el retrabajo tienden a ser una gran pérdida de tiempo para los desarrolladores, interrumpiendo su flujo de trabajo y afectando a su velocidad. La reducción de vulnerabilidades a través de un enfoque proactivo minimiza estos ciclos de remediación manteniendo a los equipos de desarrollo enfocados en la entrega de características de alto valor.

Ampliación de la seguridad impulsada por los desarrolladores

SCW Trust Agent proporciona a las organizaciones las herramientas que necesitan para ampliar sus programas de seguridad impulsados por los desarrolladores. Los CISO y los equipos de seguridad de aplicaciones tienen la visibilidad y el control que necesitan para aplicar una gobernanza adecuada, cumplir e incluso superar las normas de cumplimiento con información detallada sobre el diseño, la aplicación y el cumplimiento de las políticas. Por su parte, los desarrolladores están capacitados para entregar código seguro con mayor rapidez gracias a la formación en código seguro específica para los lenguajes que utilizan en el código que entregan.

SCW Trust Agent funciona con cualquier herramienta de gestión de código fuente basada en Git y la conexión de su repositorio de código es sencilla gracias a las múltiples opciones de conectividad, que incluyen la carga local, basada en la nube y manual. Para obtener más información, visite www.scwtrustagent.com o póngase en contacto con nosotros, nos encantaría hablar sobre cómo podemos ayudar a su organización a reforzar su postura de seguridad y ampliar la seguridad impulsada por los desarrolladores.

Nota del editor: Este post fue publicado originalmente por Kyle Riordan y publicado el 23 de julio de 2024. Ha sido actualizado con nueva información e investigación por Andrew Johnson, Sr. Director de Marketing de Producto de Secure Code Warrior.

Wir freuen uns, das Gespräch über die neueste Erweiterung der SCW-Plattform — den SCW Trust Score — fortzusetzen. Diese bahnbrechende Funktion wurde im Mai offiziell eingeführt und stellt einen entscheidenden Fortschritt in unserer Mission dar, Entwicklern und Organisationen die Tools an die Hand zu geben, die sie zum Schreiben von sicherem Code benötigen.

Im Kern bietet der SCW Trust Score unschätzbare Einblicke in die Sicherheitslage Ihres Unternehmens und die Wirksamkeit Ihrer sicheren Codierungspraktiken. Lassen Sie uns die wichtigsten Vorteile und Vorteile von SCW Trust Score durchgehen.

• Sichtbarkeit: Teamübergreifend entstehen vielfältige Fähigkeiten und Kompetenzen durch Lern- und Bildungsprogramme, die auf verschiedenen Erfolgsfaktoren beruhen. Obwohl Teams identische Sicherheitscode-Programme durchlaufen, verfügen sie oft über ein breites Spektrum an Fachwissen, das Leistungsträger, durchschnittliche Leistungsträger und Personen umfasst, die zusätzliche Unterstützung benötigen. Der SCW Trust Score bietet Unternehmen eine datengestützte Messung der Effektivität ihres Sicherheitsschulprogramms, indem die Sicherheitslage einzelner Entwickler bei der Verwendung von Secure Code Warrior zusammengefasst wird.
  
  
• Benchmarking-Metriken: Unternehmen benötigen einen Benchmark, um die Glockenkurve der Sicherheitslage ihrer Entwickler zu definieren und Bereiche zu identifizieren, die optimiert werden müssen, um wirklich ein sicherheitsbereites, leistungsstarkes und produktives Softwareteam zusammenzustellen. Mit dem SCW Trust Score erhalten Unternehmen die Möglichkeit, ihre Sicherheitslage im Vergleich zu branchenspezifischen Benchmarks und Best Practices zu beurteilen. Mithilfe dieser umfassenden Kennzahl können Stakeholder Stärken und Verbesserungsmöglichkeiten mit beispielloser Präzision identifizieren.
  
  
• Datengestützt: SCW Trust Score nutzt das Potenzial von 20 Millionen Lerndatenpunkten, die von über 600 Unternehmen und 250.000 Entwicklern stammen. Durch die Analyse aller auf unserer Plattform abgeschlossenen Lernaktivitäten generiert unser Algorithmus einen umfassenden Score. Bei dieser Bewertung werden Faktoren wie Umfang und Tiefe der Lernaktivitäten, das Verständnis der Aktivitäten, die Aktualität des Lernens, die Stellenbeschreibung, der Onboarding-Lebenszyklus und die Gesamtzahl der geschulten Entwickler berücksichtigt.
  
  

Wir sind stolz darauf, unsere Gespräche mit Kunden und Interessenten vor Kurzem auf der RSAC fortgesetzt zu haben, wo sie bei Kunden, Partnern und Branchenführern gleichermaßen großes Interesse geweckt haben.

Wir freuen uns, Ihnen mitteilen zu können, dass wir eine veranstalten werden Webinar am 12. Juni, in dem unser Chief Technology Officer und Mitbegründer Matias Madou einen umfassenden Überblick über den SCW Trust Score und seine praktischen Anwendungen in realen Szenarien geben wird. Wir freuen uns darauf, Sie dort zu sehen.

Schließlich möchten wir jedem Mitglied der Kunden- und Partnergemeinschaft, das zur Entwicklung und Verbesserung des SCW Trust Score beigetragen hat, unsere Anerkennung aussprechen. Gemeinsam begeben wir uns auf eine Reise, um zu verstehen, wie eine gute Sicherheitslage in Unternehmen aussieht

Wir freuen uns, Ihnen heute mitteilen zu können, dass SAP:ABAP-Schulungsinhalte in Secure Code Warrior verfügbar sind! Sie können sicherstellen, dass Ihre ABAP-Entwicklungsteams die Unterstützung erhalten, die sie benötigen, um den Qualitätscode schneller, mit weniger Nacharbeit und weniger Sicherheitslücken bereitzustellen, und zwar durch:

• Training im eigenen Tempo
• Gezielte Lernwege
• Divertidos concursos de programación
• Revisiones seguras de la competencia en codificación
• Personalisierte Berichte über Stärken und Schwächen bei sicheren Programmierkenntnissen

ABAP (EINFortgeschritten BGeschäft EINbewerbung PProgrammieren) is the main language for more as 19.000 companies to programming their business applications on SAP platforms. Total generate this company to 87% des gesamten Welthandels — das entspricht 46 Milliarden USD. Also ist die Absicherung von ABAP heute wichtig, denn je.

In Secure Code Warrior bemühen wir uns, Developers the security all geschäftskritischer Anwendungen zu ermöglichen, einschließlich solcher, die in Nischsprachen wie ABAP geschrieben sind, und gängigere Anwendungen wie Java.

‍

‍

If you already customer, you can now access training, courses and turniers on the content. Tue not to speak with your Customer Success Manager, if you have questions 🙂.

How Secure Code Warrior for Protection geschäftskritischer ABAP-Anwendungen

Da ABAP eine Nischensprache ist, sind sie selten in Trainingsplattformen enthalten. If company try to schools, their Developer to schools, they also with over the hard and inefficient programs, like z. B. unique workshops.

With Secure Code Warrior you receive a continuous and efficient training solution.

Our training content are provided in the selected format of the Developer — codefragments and examples. So can you safe, that they are use and enjoy the content.

Darüber hinaus erhalten ABAP-Entwickler dank der Tiefe und Breite unserer Inhalte und unserer mehrstufigen Lernsysteme die kontinuierliche Unterstützung, die sie benötigen, um ihre Fähigkeiten im Bereich der sicheren Codierung schrittweise zu verbessern. This progressive learning experience provides safe that Developer your muscle memory, and that you can implement in their projects in the practice.

‍

You learn, security lücken zu erkennen und das Codemuster anhand der Codierungsherausforderungen zu sichern

‍

Wir wissen, dass Entwickler am besten in Umgebungen arbeiten, mit denen sie vertraut sind. Deshalb präsentieren wir unsere Herausforderungen beim Programmieren in einer Code-Editor-ähnlichen Oberfläche.

Developer can navigate through files and code lines to find, identify and fix ABAP-schwachstellen in funktionierenden Codebasen. When the training Developer learn, vulnerable code patterns to detect and find the correct correctures, was to an early detection of security lücken and an quickly behebung.

ABAP is the neueste extension our language gebots, the same benefits there for alle anderen 57 Sprachen (und es werden immer mehr), die wir auf der Plattform abdecken.

Ich habe gesehen, dass das Verhalten von Sicherheitslücken eine direkte Folge der Einführung der Secure Code Warrior® -Schulung ist, weil meine Entwickler sagen, wie „I remember me, that I have learning in the Secure Code Warrior® -Training, also erstelle ich hier ein Ticket, um das Sicherheitsproblem anzugehen. “

Nicole Smith, Sicherheitschefin, Komodo Health

Sie werden durch immersive Simulationen aus der realen Welt ein sicherheitsbewusster Entwickler

‍

Sobald sie ABAP-Entwickler mit grundlegenden sicheren Codierungspraktiken vertraut gemacht haben. Sie können selbst herausfordern, Sicherheitsmeister werden, indem sie spielen Missionen.

Missions are our simulated toys, on which Developer can use a specific safety gap. Wenn sie in Echtzeit miterleben, wie sich ein Exploit auf einer funktionstüchtigen App auswirkt, können sie anstößige Fähigkeiten beim sicheren Programmieren anwenden und diese zum Schutz ihrer Projekte zurücknehmen.

Probiere ABAP-Coding-Herausforderungen aus

With the latest content for ABAP can you can offer a advanced training program easy and efficient.

Bestehende Secure Code Warrior-Kunden können auf die Schulungsinhalte zugreifen Training, Teaching events, Turnier, und Valutazione Spielmodi.

Wenn Ihr Team unsere Lösung noch nicht integriert hat, probieren Sie es doch aus unsere ABAP-Codierungsanforderungen heute?

ABAP is one of many available languages

We offer training content for 57 more languages, including the most most (Java and C++) und die aufgehenden Sterne (GO and Typescript). Schauen Sie sich unsere an complete list of supported languages and probiere today the programming challenges in your selected framework from.

Secure Code Warrior und Okta starten eine neue Methode zur Sicherung von Entwickler-Workflows

Von Entwicklern wird erwartet, dass sie Qualitätscode schneller als je zuvor bereitstellen, aber es besteht kein Zweifel, dass unrealistische Fristen zu schlechter Softwarequalität und anfälligem Code führen können. Es ist kaum überraschend, dass 67% der Entwickler glauben, Code mit Sicherheitslücken auszuliefern, was teilweise auf enge Fristen zurückzuführen ist (Stand der entwicklerorientierten Sicherheit 2022). Da Bedrohungen und Sicherheitslücken weiter zunehmen, darf Sicherheit nicht länger eine Nebensache sein, sondern muss in den gesamten DevSecOps-Zyklus integriert werden.

Wir freuen uns, den Secure Code Warrior Connector für Okta Workflows ankündigen zu können, der es Unternehmen und Entwicklern ermöglicht, von Beginn des Softwareentwicklungszyklus an sicheren Code zu schreiben. Durch diese neue Zusammenarbeit zwischen SCW und Okta, dem führenden unabhängigen Identitätsanbieter, wird eine Sicherheitsüberprüfung eingeführt, die es AppSec-Managern ermöglicht, darauf zu vertrauen, dass das Team sicheren Code zur Reduzierung von Sicherheitslücken bereitstellt, ohne dass Entwickler ihren Arbeitsablauf verlassen müssen. Außerdem haben wir Single Sign-On für Secure Code Warrior und Okta hinzugefügt, um die Nutzung dieser großartigen neuen Lösung noch einfacher zu machen.

Reduzieren Sie das Risiko der Einführung von Sicherheitslücken

Entwicklungsteams haben sich traditionell auf reaktive oder langsame Prozesse verlassen, die sich später im Entwicklungszyklus befinden, wie Plugins, Scan-Tools oder Code-Reviews, um Sicherheitsprobleme zu lokalisieren und zu beheben. Diese Ansätze haben zwar viele Vorteile, bergen aber einfach ein zu großes Risiko für anfälligen Code und zukünftige Überarbeitungen. Stattdessen sind wir hier, um Unternehmen dabei zu helfen, die Sicherheit nach links zu verlagern und eine proaktive, nicht reaktive Sicherheitspolitik einzunehmen. Der neue Secure Code Warrior Connector für Okta Workflows integriert Sicherheitsdenken in den gesamten Entwicklungszyklus, indem sichergestellt wird, dass jeder einzelne Entwickler über die notwendigen Fähigkeiten zur sicheren Codierung verfügt, um Repo-Zugriff auf Commit-Code zu erhalten. Diese Integration stellt sicher, dass Entwickler über die äußerst ansprechende Plattform von SCW die neuesten Sicherheitspraktiken kennenlernen und dass einige der Belastungen durch manuelle Code-Reviews reduziert werden, sodass Entwicklungsstunden frei werden, um mehr Funktionen ohne Qualitätseinbußen bereitzustellen.

AppSec und führende Techniker nutzen die umfangreiche Lernplattform von SCW, um personalisierte Bewertungen und Pfade zu erstellen, um sicherzustellen, dass sich die Entwickler auf Ihre wichtigsten Anforderungen an sichere Codierung konzentrieren und über das richtige Fachwissen verfügen, um sicher zu sein, dass sie Code einchecken können. Mithilfe der Breite und Tiefe des Inhalts, der über 6500 interaktiven Programmierherausforderungen, mehr als 56 Sprachen:Frameworks und über 150 Schwachstellenkategorien können Sie sicher sein, dass praktisch alle Anforderungen Ihres Unternehmens erfüllt werden können.

Sobald Sie die richtige Lernstrategie für Ihr Team entwickelt haben, können Sie anhand der Bewertungsergebnisse sowie des Abschlussstatus eines Kurses feststellen, ob Entwickler über die richtigen Fähigkeiten verfügen, um Software zu entwickeln, bei der Sicherheit an erster Stelle steht. Dank der neuen Integration mit Okta können Sie nun die Berechtigungen für jeden Entwickler auf der Grundlage seiner Bewertungsergebnisse automatisieren, sodass die Zustimmung jedes einzelnen Entwicklers, Code zu veröffentlichen oder Möglichkeiten zur Weiterentwicklung seiner Fähigkeiten zu identifizieren, auf einfache Weise skaliert werden kann.

Dank der flexiblen und interaktiven Lernerfahrung auf der SCW-Plattform haben Entwickler durchweg Spaß beim Lernen und können feststellen, dass sich ihr Lernansatz von einem Compliance-Kontrollkästchen zu einem überzeugenden und lohnenden Lernansatz verändert hat.

Así funciona

Der Secure Code Warrior Connector für Okta Workflows lässt sich einfach mit Okta Workflows ohne Automatisierung der Codidentität und Orchestrierung mithilfe der Wenn-Dann-Logik erstellen. Der Connector verwendet eine Reihe von Aktionen, mit denen Sie Workflow-Aufgaben ausführen können, ohne sich Gedanken über die zugrundeliegende Komplexität von API-Aufrufen und Konfigurationseinstellungen machen zu müssen.

Ein einfaches Design zur Sicherung Ihres Entwickler-Workflows sieht so aus:

Hier ist ein Überblick über das vollständige Workflow-Design:

‍

Gehen wir die Schritte durch:

1. Konfigurieren Sie die Assessment-ID, mit der die Sicherheitskompetenz eines Entwicklers ermittelt wird. Füge außerdem GitHub-Details wie die Organisation und das Repository als Teil des Setups hinzu.

2. Mithilfe der Aktion „Abschluss der Bewertung für Benutzer überprüfen“ überprüft der Workflow, ob ein Entwickler eine bestimmte Bewertung erfolgreich bestanden hat.

‍

3. Wenn der gewünschte Kurs/Test abgeschlossen oder eine bestimmte Punktzahl erreicht wurde, verwenden Sie den GitHub-Connector, um Zugriff auf das Repository zu gewähren. Wenn die Anforderung nicht erfüllt ist, kann eine Benachrichtigung generiert oder ein anderer Okta-Workflow ausgelöst werden, um entsprechende Maßnahmen zu ergreifen.

‍

Das oben Genannte kann so konzipiert werden, dass es als einmalige, regelmäßige oder kontinuierliche Überprüfung durchgeführt wird, sodass weiterhin nur berechtigte Entwickler in den sicheren Workflow aufgenommen werden.

Einige der anderen möglichen SCW-Connector-Aktionen sind:

• Bewertungsversuche für Benutzer auflisten — listet alle Versuche auf, die ein Benutzer für eine bestimmte Bewertung hat
• Kursabschluss für Benutzer überprüfen — bestimmt, ob ein Benutzer einen bestimmten Kurs abgeschlossen hat
• Kursanmeldungen für Benutzer auflisten — listet alle Anmeldungen auf, die ein Benutzer für eine bestimmte Kurs-ID hat
• Benutzerdefinierte API-Aktion — um jeden API-Aufruf auszuführen, der nicht über die verfügbaren Aktionen möglich ist

Veröffentlichen Sie sicheren Code von hoher Qualität schneller und mit Zuversicht

SCW Connector trägt dazu bei, das Risiko der Einführung von Sicherheitslücken zu Beginn des Softwareentwicklungszyklus zu reduzieren. Genau wie Code-Reviews und Scan-Tools erfüllt es die Rolle eines Quality Gates, das sicherstellt, dass Entwickler von Anfang an sicheren Code schreiben. Infolgedessen wird weniger Zeit für die Überprüfung von Code und die Behebung vermeidbarer Probleme aufgewendet, und der Schwerpunkt verlagert sich auf den schnelleren Versand von Qualitätscode. Darüber hinaus trägt der Connector auch zur Förderung einer Kultur bei, bei der Sicherheit an erster Stelle steht, indem er Entwickler ermutigt, sich proaktiv mit der Lernplattform von SCW zu beschäftigen, um ihre Sicherheitskompetenzen aufrechtzuerhalten. Da Entwickler ständig dazulernen und ihren Reifegrad im Bereich Sicherheit verbessern, nehmen die Sicherheitslücken in neuem Code weiter ab. Dies entlastet das AppSec-Team von der Unterstützung bei der Problembehebung und ermöglicht es ihnen, sich stärker auf die Stärkung der allgemeinen Sicherheitslage der Unternehmen zu konzentrieren.

Der Secure Code Warrior Connector für Okta Workflows, zusammen mit unserem Lernplattform, kann Unternehmen dabei helfen, ihr Ziel, die Sicherheit nach links zu verlagern, schneller zu erreichen, indem die Sicherheitskompetenz der Entwicklungsteams verbessert wird.

Wenden Sie sich an vereinbaren Sie eine Demo oder schauen Sie sich das an Dokumentation um mehr Details über die Einrichtung und Konfiguration zu erfahren.

‍

Wie viele Menschen in der Sicherheitsbranche machten ich und mehrere Kollegen im März die Reise zum RSA-Konferenz in San Francisco. Obwohl es eine extrem geschäftige Jahreszeit ist, ist es wirklich eine meiner Lieblingsveranstaltungen. Ein Teil, auf den ich mich besonders freue, ist der von Bugcrowd Chaos in der Münzstätte, was eine Gelegenheit ist, sich zu entspannen und nach langen Konferenztagen eine tolle Zeit mit Kollegen und Freunden zu verbringen.

Dieses Jahr war es allerdings etwas anders. Wir hatten persönlich viel zu feiern. Als Sponsoren der Veranstaltung hatten wir an dem Abend unseren eigenen Cocktail (Secure Code Sangria natürlich), aber das, was mich wirklich zum Feiern gebracht hat, war unsere neue Partnerschaft mit Ungestörtes Publikum. Es ist offiziell: Wir bündeln unsere Kräfte, um Entwickler über sicheres Programmieren aufzuklären, zu stärken und aufzuklären.

Ich habe die Begeisterung der gesamten Branche für diese Ankündigung genossen und geschätzt, insbesondere den Artikel und die Podcast-Episode von ITSP-Magazin. Im Gespräch mit Casey Ellis und Jason Haddix von Bugcrowd hat der Herausgeber Sean Martin die Essenz dessen, warum wir tun, was wir tun, wirklich auf den Punkt gebracht: Es liegt daran, dass bedeutsame Veränderungen eine Menge brauchen. Bugcrowd hat das schon lange erkannt, und gemeinsam daran zu arbeiten, Software-Ingenieure auf der ganzen Welt zu Sicherheits-Superhelden zu machen, ist ein wahr gewordener Traum.

Nach mehr als zwanzig Jahren, in denen wir Dinge kaputt gemacht, Sicherheitslücken gefunden und behoben haben, die die Welt verwüstet haben, ist es offensichtlicher denn je, dass sich die Diskussion über Sicherheit ändern muss. „Hacker sind nicht immer die Bösewichte. Ihre inhärenten Fähigkeiten sind von unschätzbarem Wert für den Prozess der Software-Stärkung, und wir müssen uns gemeinsam darum bemühen links beginnen. Es sollte kein neuartiges Konzept sein, das man eines Tages ausprobieren kann, es sollte im Mittelpunkt des Softwareentwicklungszyklus stehen. Um dies zu erreichen, setzen wir und Bugcrowd uns dafür ein, die Vorstellung zu ändern, die viele Entwickler von Sicherheit haben: dass Sicherheit ein lästiges Hindernis für die Entwicklung von Funktionen und Features ist.

Die Sicherheitsschulung war bisher unzureichend. Viel zu selten, oft irrelevant für die täglichen Programmieraktivitäten oder sie sprechen einfach nicht die Herzen und Köpfe der Entwickler an. Secure Code Warrior will das ändern — etwas über sicheres Programmieren zu lernen kann Spaß machen, und mit der Unterstützung von Bugcrowd kann diese Botschaft in der Community, die uns so wichtig ist und die wir fördern wollen, weit und breit verbreitet werden.

Letztlich müssen wir einen Punkt erreichen, an dem Softwaresicherheit ein Synonym für Softwarequalität ist; heutzutage steht einfach zu viel auf dem Spiel, um etwas anderes vermuten zu lassen. Und ich glaube, mit dieser Partnerschaft können wir Entwickler wirklich für sichere Entwicklung begeistern. Ein blühendes Umfeld, das von Sicherheitsbewusstsein und einer positiven Kultur geprägt ist, ist der Schlüssel, und ich könnte mir kein Unternehmen vorstellen, das perfekter wäre, um uns dorthin zu bringen.

Achten Sie auf diesen Bereich: Die Sicherheitsdiskussion wird sich dramatisch nach links verschieben.

El cifrado del dispositivo es el proceso de cifrar todos los datos del dispositivo Android. Una vez que se habilita para un dispositivo Android, todos los datos creados por el usuario se encriptan inmediatamente antes de que se escriban en el almacenamiento. Esto protege los datos de manera que incluso si cualquier parte no autorizada intenta acceder a los datos, no podrá leerlos. Esta es una característica especialmente buena para los dispositivos de los teléfonos inteligentes, ya que el usuario los lleva consigo y son más propensos a la pérdida o al robo que otros dispositivos informáticos. Cualquier curioso o ladrón no puede acceder a los datos a menos que pueda desbloquear el teléfono.

Android dispone de dos tipos de cifrado del dispositivo: el cifrado de todo el disco y el cifrado basado en archivos.

Cifrado de disco completo

El cifrado de disco completo se introdujo en el nivel 19 de la API (Android 4.4 KitKat), pero las nuevas características del nivel 21 de la API (Android 5.0 Lollipop) realmente impulsaron su uso. El cifrado de disco completo utiliza una única clave para proteger toda la partición de datos de usuario del dispositivo. La clave está protegida con las credenciales del usuario y deben proporcionarse en el arranque antes de que se pueda acceder a cualquier parte del disco.

Esto es genial para la seguridad, pero también significa que la mayor parte de la funcionalidad del dispositivo no está disponible hasta que el usuario introduzca sus credenciales. Esto significa que cuando el dispositivo se reinicia pero no se desbloquea, algunas funciones como las alarmas no pueden funcionar, los servicios no están disponibles y los teléfonos no pueden recibir llamadas. Por esta razón se creó el segundo modo de encriptación.

Cifrado basado en archivos

El cifrado basado en archivos, el segundo modo de cifrado del dispositivo, está disponible desde el nivel 24 de la API (Android 7.0 Nougat). En este modo, se encriptan diferentes archivos con diferentes claves que se pueden desbloquear de forma independiente. Con este modo de cifrado llegó el modo de arranque directo, que permite a los dispositivos cifrados arrancar directamente en la pantalla de bloqueo, habilitando las funciones que antes no existían antes de desbloquear el dispositivo.

El arranque directo permite que las aplicaciones funcionen en un contexto limitado antes de que se desbloquee el dispositivo. De este modo, pueden seguir funcionando como se espera sin comprometer la información del usuario. Para ofrecer esta funcionalidad, el dispositivo Android necesita dos ubicaciones de almacenamiento:

1. Almacenamiento cifrado de credenciales. Ubicación de almacenamiento por defecto, sólo disponible después de que el usuario haya desbloqueado el dispositivo.
2. Almacenamiento cifrado del dispositivo. Disponible en el modo de arranque directo, y después de que el usuario haya desbloqueado el dispositivo.

Si tu aplicación necesita acceder a los datos mientras se ejecuta en modo de arranque directo, debería utilizar el almacenamiento cifrado del dispositivo. Pero ten en cuenta las implicaciones de seguridad. El almacenamiento encriptado del dispositivo no debe utilizarse para almacenar datos sensibles. El almacenamiento encriptado por el dispositivo está encriptado con una clave que está disponible tan pronto como el dispositivo haya arrancado con éxito. Todos los datos a los que sólo debe acceder el usuario deben guardarse en la ubicación predeterminada, el almacenamiento cifrado de credenciales.

Si quieres saber más sobre qué es el cifrado o por qué es importante, consulta el vídeo del portal Secure Code Warrior . O puedes intentar poner a prueba tus conocimientos sobre encriptación jugando a algunos retos.

¿Necesitas una guía paso a paso para tu dispositivo? Consulta este artículo de Bill Hess en Pixel Privacy.

Espero que hayas aprendido algo nuevo. Hasta la próxima semana!

Almacenamiento cifrado de credenciales, que es la ubicación de almacenamiento por defecto y sólo está disponible después de que el usuario haya desbloqueado el dispositivo.

https://developer.android.com/training/articles/direct-boot.html

Una nueva investigación explora los beneficios de la formación en seguridad de calidad. 

¿Cuáles son las posibles repercusiones de una formación de calidad en materia de código seguro para su organización, y podría ser una inversión rentable? Para encontrar algunas respuestas, veamos algunas ideas de un estudio reciente sobre las actitudes de los desarrolladores hacia la codificación segura, las prácticas de código seguro y las operaciones de seguridad, realizado por Secure Code Warrior con Evans Data Corp*.

Cuando se preguntó a los desarrolladores y a sus jefes cómo había cambiado la formación su forma de codificar, cada cohorte respondió de forma ligeramente diferente. Estas diferencias estaban en consonancia con la forma en que enfocan su trabajo y su papel dentro del ciclo de vida del desarrollo de software. Sin embargo, en general, el tema subyacente es que el impacto de la formación en código seguro de calidad es abrumadoramente positivo. 

El 55% de los desarrolladores reveló que una buena formación ha aumentado su confianza en sus técnicas de codificación, mientras que el 53% dijo que una buena formación les ha permitido ser más cuidadosos al depurar y probar su propio código. 

Y lo que es más importante, el 53% cree que se ha vuelto más consciente de la seguridad al escribir su código, lo que ha dado lugar a menos vulnerabilidades y a menos repeticiones. 

Los gestores consiguen acelerar la publicación de software

Mientras que el 43% de los directivos está de acuerdo en que la formación sobre código seguro ha ayudado a sus organizaciones a ser más cuidadosas a la hora de depurar y probar su código, los dos principales cambios reflejan las responsabilidades de los directivos. El 47% reveló que una buena formación les ha permitido ser más selectivos con la elección de herramientas que proporcionan más seguridad. Mientras que el 44% indicó que la formación y las técnicas de código seguro han ayudado a ahorrar tiempo y a acelerar las publicaciones de software.

La influencia de la codificación segura en la productividad

Cuando se trata de aumentar la productividad, las prácticas de codificación segura pueden tener un efecto poderoso. Cuando se les pidió que identificaran cómo la codificación segura podría ayudar a mejorar la productividad, más del 63% de los desarrolladores revelaron que escribir código seguro/de calidad reduce el retrabajo al prevenir las vulnerabilidades recurrentes. El 70% de los desarrolladores afirman que la formación de calidad podría eliminar los errores que posteriormente provocan retrabajos o parches. 

El impacto de la codificación segura en el ciclo de vida del desarrollo

A medida que los desarrolladores y sus responsables integran las prácticas de codificación segura en sus ciclos de vida de desarrollo, se pueden medir las repercusiones en el mundo real de su formación. 

Parece que las mejoras fluyen en todos los ámbitos, mejorando la productividad desde el inicio del SDLC. Más de la mitad de los desarrolladores encuestados afirman que una buena formación ha mejorado la productividad del diseño de aplicaciones, la codificación y la depuración y las pruebas.

La fase de depuración y pruebas es la más afectada, ya que el 56% de los desarrolladores afirman que se han vuelto más productivos con estas actividades. Si bien es cierto que la mejora de las herramientas de escaneo y comprobación puede haber acortado esta fase del desarrollo, las prácticas de codificación segura promueven el uso y la reutilización de código vetado que ha demostrado no tener vulnerabilidades en el código, así como un enfoque de seguridad en el diseño de las aplicaciones. Al "empezar por la izquierda" del ciclo de vida del desarrollo con su enfoque de la seguridad, los desarrolladores pueden ahorrar tiempo durante la fase de depuración.

El despliegue, que está más abajo, se ve menos afectado, aunque el 44% de los desarrolladores revelan que se han vuelto más productivos incluso en el despliegue. Esto es el resultado de la mayor velocidad de lanzamiento asociada a las prácticas de codificación segura.

Un camino probado para mejorar la formación

No hay duda de que una formación de calidad sobre el código seguro aporta muchos beneficios. La pregunta es: ¿cómo se juzga la calidad de la formación en código seguro? 

Para encontrar la respuesta, preguntamos a los desarrolladores qué querían. El 75% de los desarrolladores prefieren una formación estructurada en el puesto de trabajo. Prefieren el método de aprender haciendo a la monotonía del aprendizaje estático basado en la teoría. Los desarrolladores están en la primera línea de batalla cuando se trata de detener las vulnerabilidades. En consecuencia, quieren una formación centrada en aplicaciones prácticas, algo de lo que carecen la mayoría de los programas de formación actuales.

Como campeones del cambio en la codificación segura, Secure Code Warrior adopta un enfoque dirigido por el ser humano para ayudarle a crear una defensa dirigida por el ser humano. Nuestro probado learning platform ofrece contenidos de formación contextual y práctica en más de 50 lenguajes: marcos de trabajo, con retos que imitan los que los desarrolladores afrontan en el mundo real. Todo ello reduce el coste y el tiempo de lanzamiento al prevenir las vulnerabilidades antes de que se conviertan en las noticias de mañana.

Si quiere ver el impacto potencial en sus equipos y su capacidad para entregar código seguro más rápidamente, reserve una demostración ahora.

Al desarrollar para móviles, las aplicaciones suelen tener que solicitar algunos permisos al sistema. Pueden necesitar acceso a los contactos del usuario, a la conexión Bluetooth o la capacidad de enviar mensajes SMS. Todos los permisos mencionados anteriormente son permisos de plataforma, definidos por el framework de Android.

Pero hay casos en los que estos no son suficientes y la aplicación necesita definir su propio permiso personalizado. Utilizaré nuestra propia empresa como ejemplo. Secure Code Warrior puede crear una aplicación que guarde algunos datos privados como parte de un perfil, incluyendo el rendimiento del usuario en la plataforma SCW. Y nos gustaría permitir que otra aplicación de formación en seguridad, digamos DevTrainer, utilice estos datos si el usuario le da permiso para hacerlo. Se trata de datos sensibles, el usuario ciertamente no querría que cualquiera los conociera, pero la SCWApp no debería ocultarlos y protegerlos completamente, ya que podrían ser útiles. Por lo tanto, deseamos que el usuario tenga control sobre ella. Aquí es donde entran los permisos personalizados.

La SCWApp crea un permiso personalizado, DevTrainer solicita este permiso y el usuario puede decidir si quiere permitirlo o no. Esta es una práctica común y una buena manera de restringir el acceso a las aplicaciones de la lista blanca.

Lamentablemente, hay algunos comportamientos poco intuitivos en torno a los permisos personalizados que los hacen arriesgados desde el punto de vista de la seguridad. Concretamente, los permisos personalizados pueden ser definidos por cualquier app en cualquier momento, y "el primero gana", y esta estrategia viene con algunas consecuencias.

Para el siguiente escenario, definimos dos perfiles de aplicaciones que hemos introducido anteriormente (todas estas aplicaciones son ficticias a efectos demostrativos):

1. SCWApp: la aplicación que define un permiso personalizado y defiende un componente utilizando este permiso.

2. DevTrainer: esta aplicación define el mismo permiso que SCWApp y declara al usuario que desea tener este permiso.

Este es un escenario común acuñado como el caso de las Peer Apps. Si la aplicación DevTrainer fuera sólo un plugin para la SCWApp no tendría que definir el permiso personalizado. La suposición, en este caso, es que SCWApp se instalaría antes que DevTrainer y no se produciría ningún comportamiento inesperado. Si de alguna manera el usuario instala primero DevTrainer, no se le informa de la solicitud del permiso. Si el usuario instala más tarde SCWApp, no se concede el permiso a DevTrainer de forma retroactiva, por lo que los intentos de la aplicación DevTrainer de utilizar el componente seguro fallarán.

Aquí es donde entra en juego el caso de la aplicación Peers. En algunos casos, no se puede esperar que una aplicación se instale antes que la otra. Digamos que si Facebook y Twitter quieren utilizar los componentes del otro, tienen que definir los permisos personalizados del otro.

Sin embargo, aquí es donde la cosa se complica. Si la aplicación DevTrainer se instala primero, el usuario no es informado de su solicitud de permiso personalizado. En este punto, aunque el usuario no haya sido informado, DevTrainer tiene el permiso personalizado y puede acceder al componente protegido.

La cosa se complica aún más. La aplicación DevTrainer puede cambiar el nivel de protección de los permisos. Android no utiliza el nivel de protección del defensor, sino el nivel de protección que se define primero, lo que significa que la aplicación que se instaló primero puede definirlo. Esto significa que si DevTrainer cambia el nivel de permiso a normal, entonces cualquier aplicación futura que solicite este permiso no tendrá que ser confirmada por el usuario, sino que se le concederá automáticamente el acceso.

Este escenario está inspirado en la explicación de este problema que se encuentra en el github de cwac-security.

La estrategia "el primero gana" tiene algunas consecuencias peligrosas y el desconocimiento de su comportamiento puede llevar al desarrollador a tomar decisiones de seguridad basadas en entradas no fiables y permitir que aplicaciones no deseadas accedan a datos sensibles o servicios protegidos. Para obtener más información sobre cómo evitar las decisiones de seguridad a través de entradas no fiables, visite nuestra plataforma. Este comportamiento se modificó a partir de Android 5.0 (Lollipop). Pero como actualmente, más del 22% de los dispositivos Android siguen ejecutando una versión inferior de Android es importante mitigar los riesgos del comportamiento original en tu aplicación. Comprueba si el permiso ya se ha definido en la primera ejecución de tu app y toma las medidas adecuadas si es el caso para resolver cualquier riesgo de seguridad.

Buena suerte con la codificación y hasta la semana que viene.

Al definir los permisos personalizados, una aplicación puede compartir sus recursos y capacidades con otras aplicaciones.

https://developer.android.com/guide/topics/permissions/defining.html

27. Januar 2018. Der Geburtstag von Secure Code Warrior fällt einen Tag nach dem Australia Day. Während ich über ein weiteres fantastisches Jahr nachdachte, wurde mir klar, dass ich tatsächlich zwei Dreijährige in meinem Leben habe, einen Geschäftsmann und einen Menschen... mit bemerkenswerten Ähnlichkeiten:

• Es ist schwierig, sie abends ohne eine richtige Routine ins Bett zu bringen

„Ich lese gerade die letzte E-Mail, die gerade eingegangen ist... oder warte, ich muss schnell mit unserem Team in den USA telefonieren... oder dieser Vorschlag muss wirklich bis heute Abend veröffentlicht werden. Verdammt. Es ist schon wieder nach Mitternacht.“

• Sie machen dich so stolz, wenn sie etwas erreichen

Auch wenn Sie 3 Wochen lang nicht richtig geschlafen haben, keine Zeit zum Sport hatten oder einfach nur ein Chaos aufräumen mussten... aber Ihr Pilot hat gezeigt, wie sich das auf die Sicherheitsfähigkeiten der Entwickler auswirkt, und der Kunde freut sich, für weitere drei Jahre mit uns zusammenzuarbeiten! BUMM! Energiespitzen. Und überall Kuchen. Plötzlich spielt der Schlafmangel keine so große Rolle.

• Sie werden so schnell erwachsen

Vorbei sind die Zeiten, in denen man sich mit dem Team nach Bali schleichen und vom Strandhaus aus an den nächsten Features der Plattform arbeiten konnte. Unser Start-up ist im letzten Jahr um das 4- bis 6-fache gewachsen (je nachdem, ob Sie Mitarbeiter, Kunden oder Umsatz messen) mit technischen Einrichtungen in Sydney (AU) und Brügge (BE) sowie Vertrieb und Marketing in den USA, Europa und Australien. Ich erinnere mich an ein Jahr, als ich wirklich begeistert war, eine der großen australischen Banken als Kunden zu haben. Heute arbeiten wir mit 10 der 100 weltweit führenden Finanzinstitute sowie einigen der wichtigsten Telekommunikations- und Technologieunternehmen zusammen, die die nächste Generation von Online-Diensten entwickeln (Hinweis: Ich bin immer noch sehr stolz auf die australischen Banken, die unsere ersten Kunden waren!).

Wir sind an so vielen Fronten so schnell erwachsen geworden, aber einer der wichtigsten Meilensteine im letzten Jahr war die Definition einer Vision für unser Unternehmen. In den ersten Jahren konzentrierten wir uns so sehr auf den Aufbau, die Umsetzung und die Sicherstellung der Liquidität, dass wir oft vergessen, innezuhalten und darüber nachzudenken, was wir genau erreichen wollen. Je mehr Leute Secure Code Warrior beitreten und je mehr Kunden wir gewonnen haben, desto wichtiger war es, eine einheitliche Vision zu haben und zu verstehen, wohin wir wollen. Das haben wir 2017 gemacht.

Ein weiterer wichtiger Meilenstein betraf die Technologie. Wir haben früh erkannt, dass der Aufbau der Fähigkeiten eines Entwicklers nur der Anfang der sicheren Codierung ist. Sie benötigen Tools, die ihnen zur Verfügung stehen, um die Sicherheit zu integrieren und einfach zu gestalten, und nicht erst im Nachhinein oder etwas, an das Sie denken, wenn Sie mit dem Schreiben des Codes fertig sind. Nein, die Sicherheit muss von Anfang an beim Schreiben des Codes entwickelt werden.

Unser Team hat sehr hart daran gearbeitet, Sicherheitscoaching-Plug-ins für die gängigsten IDEs (IntelliJ, Visual Studio, Android Studio, um nur einige zu nennen) zu schreiben, die dem Entwickler tatsächlich helfen, sichereren Code zu schreiben. Nicht nur, indem wir auf potenzielle Sicherheitslücken hinweisen, sondern auch, um wirklich ein Coach zu sein und einzugreifen, wenn Entwickler Code schreiben, der nicht den gängigen Sicherheitspraktiken entspricht. Das Sicherheitscoaching-Plug-in heißt Sensei und ermöglicht es Entwicklern wirklich, vor Ort geschult zu werden (Micro-Learning). In einigen Fällen bietet es eine Autokorrekturoption, mit der Code sofort repariert werden kann.

Ich bin wirklich gespannt, was die nächsten 12 Monate bringen werden. Wir sehen bereits, dass Softwaresicherheit nicht mehr nur das Anliegen der größten entwicklerintensiven Unternehmen wie Banken, Telekommunikations- oder Technologieunternehmen ist. Unternehmen aller Art sind nach wie vor durch Softwareschwächen gefährdet, und obwohl die SQL-Injection möglicherweise endgültig zum Erliegen kommt, warten eine Reihe anderer darauf, ihren Platz einzunehmen.

Kunden, Märkte und Vorstände aus allen Branchen erwarten jetzt immer mehr, dass Unternehmen die Sicherheit ihres Codes schützen. Die Einhaltung der Vorschriften wird Unternehmen auch weiterhin in diese Richtung drängen (z. B. DSGVO für alle, die in Europa Geschäfte machen, Gesetze gegen Datenschutzverletzungen in Australien usw.)

Daher bin ich zuversichtlich, dass unsere SCW-Plattform ihr schnelles Wachstum auf der ganzen Welt und in neuen Branchen fortsetzen wird. Das ist natürlich eine gute Nachricht für unser Unternehmen, aber es hilft auch meinem Team, unsere Vision zu verwirklichen, was sich meiner Meinung nach für das Softwarezeitalter, in dem wir leben, sehr lohnt.

Entwickler, die unsere Tools verwenden, können und werden tatsächlich eine proaktivere Rolle bei der Sicherheit ihres Unternehmens spielen. Sie verfügen über die Fähigkeiten und Tools, um sicheren Code zu schreiben, der die erste Verteidigungslinie für ihr Unternehmen darstellt.

Mir geht es genauso, wenn ich Vater eines Dreijährigen und CEO von Secure Code Warrior bin: Jedes Jahr ist besser als das letzte. Ich kann es kaum erwarten zu sehen, wie sich der Vierjährige entwickelt!

Unsere Vision ist es, Entwickler in die Lage zu versetzen, die erste Verteidigungslinie in ihrem Unternehmen zu sein, indem wir Sicherheit deutlich sichtbar machen und ihnen die Fähigkeiten und Tools an die Hand geben, um sicheren Code von Anfang an zu schreiben.