软件安全处于狂野西部（它会让我们被杀死）

最初发表于 CSO 在线

作为一个（半退休的）道德黑客、安全专业人员和全方位的计算机极客，你可能会说我非常关心技术。我关心它是如何制作的，它做了什么，以及它将如何改善或提高我们生活的某些方面。我一直看着设备的 “幕后”，看到一些最好（也是最差）的代码示例。最近，我研究了如何使用Android应用程序远程控制我的空调系统（想象一下当我发现WiFi网络上的任何人都可以无需任何身份验证即可控制该设备时，我感到惊讶）。

软件安全一直是我的头等大事，我们日益数字化的个人信息共享生活方式所构成的真正危险也是如此。毕竟，我们处在一个基本上不受监管、无人监督、被忽视的领域。我们在狂野的西部。

作为一个集体社会，我们不是在研究我们每天使用的技术。尽管像《机器人先生》这样受欢迎且广受好评的电视剧有助于提高公众的认识，但我们并不注重安全... 事实上，我们大多数人不知道该软件在我们购买和使用的各种应用程序、服务和日益互联的东西中有多安全。甚至不是我们天生就信任他们，我们根本不考虑他们。

索尼 PlayStation 网络 (PSN)、Ticketmaster、雅虎！、Facebook、Target：这些广泛使用的公司中的每一家都是数据泄露的受害者。他们的 软件漏洞 被利用，数百万条客户记录被泄露。这些例子代表了过去十年中发生的全球漏洞的一小部分。它们是软件安全性差导致的代价高昂的后果，它允许坏人窃取我们的宝贵信息。

当大多数人考虑数据泄露时，他们会想到信息安全漏洞，这对于被泄露的公司来说是一场噩梦，对于那些个人详细信息受到影响的人来说，这会带来不便，但说真的，有什么大不了的？如果安全性继续被忽视，后果真的那么大吗？没什么 那个 到目前为止，发生了重大事件——数据泄露对应对数据泄露负责的公司产生了严重影响，但这是他们的问题，对吧？他们失去了生意，失去了消费者的信任；归根结底，他们的工作是解决问题并赔偿损失。

软件安全应该是每个组织的首要任务。

为什么软件安全不是每个拥有开发团队的组织的头等大事，原因很简单：还没有足够的人丧生，对风险的了解也不够。

病态？也许吧。但这是诚实的事实。监管、建筑标准和修改法律的注意力在出现时会得到重视（例如来自政府机构） 真正的人力成本。

以一座桥为例。土木工程师（这项工作已有数百年的历史）将安全视为建造桥梁的核心部分。他们的方法远远超出了美学和基本功能。建造的每座桥都应遵守严格的安全法规，随着时间的推移，土木工程行业和整个社会都在学习，期望达到较高的安全水平。如今，不符合安全要求的桥梁被视为危险且无法使用。这仍然是我们在软件工程领域需要实现的演变。

举一个更现代的例子，让我们来看看玩具行业。20 世纪 50 年代出现了 玩具产量和销售大幅增长 这要归功于战后的婴儿潮。有趣的是，据报道，在此期间，涉及玩具相关事件的急诊室就诊量也有所增加。玩具箭造成眼部受伤，小玩具（以及较大玩具中可拆卸的零件）被摄入， 向小女孩出售的玩具烤箱 能够加热到比普通家用烤箱更高的温度。

这有点像 “狂野西部”，除了少数孤立的禁令和在最严峻的情况下召回产品外，几乎没有其他监管。玩具制造商基本上可以随心所欲地生产任何玩具，任何安全问题通常在报告的事件已经发生后才显现出来。直到像这样的账单 理查德·尼克松 1969 年的《玩具安全法》 已通过成为法律，在美国和世界各地，危险玩具的测试和随后的禁令成为标准。尽管事故仍会发生，但如今，玩具制造的总体过程采取 “安全第一” 政策，我们的孩子面临的潜在危险要小得多。

在软件安全方面，我们现在处在狂野的西部。除了与隐私（尤其是最近的GDPR）和客户数据保护相关的明显法律法规以及某些国家的强制性违规报告立法外，主流企业或社区对软件内置的安全级别几乎没有说过和做什么。即使是这些法律也更多地与公司责任有关，而不是与受监管的实际软件或必须满足的强制性安全标准有关。

我们会到达那里，但可能首先需要一条毁灭之路。

Gartner 估计会有 到 2020 年，将使用 84 亿台联网设备；这个数字表示自2016年以来增长了31％。这包括消费电子产品，以及医疗设备和行业专用设备之类的东西。对于黑客来说，这是很多机会。

想象一下，运行某人起搏器的软件是不安全的。黑客可能会闯入并有可能阻断受害者的心脏（觉得这太荒谬了吗？医生 禁用了无线网络 在迪克·切尼的起搏器中，通过黑客攻击阻止潜在的暗杀）。连接的微波炉或水壶 可以远程炸毁 （以及我们在家中使用的各种物联网设备），或者联网的电动汽车可能会禁用刹车。这听起来像是一部牵强附会的好莱坞动作片，但是如果这些先进的互联技术的软件可以被破解，我们手上确实会面临潜在的灾难——就像我们已经涵盖的威胁一样 石油和天然气行业网络攻击的爆炸性后果。

随着我们的生活变得越来越依赖数字，我们可以抢先防范恶意黑客攻击的严重后果。这一切都始于让开发人员对安全编码更加兴奋，并认真考虑在开发团队中培养强大的安全思维和文化。

您的软件革命从这里开始。银行业在采用游戏化培训来对抗不良代码方面处于领先地位，这是一种真正创新的方法，可以颠覆传统（阅读：无聊）的培训。实际上，澳大利亚排名前六的银行目前都在以这种方式吸引开发者，这激发了他们的安全心态。看看我们的客户 IAG 集团对他们做了什么 下一级锦标赛。