.

Actualités

Inscrivez-vous flux rss

imprimerenvoyerrecevoir

La NSA identifie 25 erreurs classiques à la source de failles de sécurité


Edition du 13/01/2009 - par Olivier RAFAL

Ce sont des erreurs de programmation courantes, et elles ouvrent des failles de sécurité béantes dans les logiciels : la NSA (National security agency), agence fédérale américaine de sécurité, a mis en oeuvre un programme pour déterminer les 25 plus courantes. Ce top 25 se divise en trois catégories : les interactions non sécurisées entre composants (9 erreurs), une gestion hasardeuse des ressources (9 erreurs) et des défenses poreuses (7 erreurs). D'après les responsables du projet, deux seulement de ces erreurs ont provoqué en 2008 quelque 1,5 million de failles dans les sites Web, et se sont répercutées dans les PC visitant ces sites, les transformant en zombies.

Le projet, initié par la NSA et la division cyber-sécurité du ministère américain de la Sécurité intérieure, a vu la collaboration de plusieurs instituts (Sans, Mitre, Secunia...) et éditeurs (Microsoft, Oracle, RSA, Symantec...). Le chef du projet explique que si les débats ont été parfois chauds, il y a eu un plutôt large consensus pour établir ce top 25 des erreurs de programmation les plus courantes ouvrant des failles de sécurité.

Les agences fédérales américaines espèrent, en publiant la liste des erreurs et la façon de les empêcher, faire prendre conscience aux développeurs des conséquences en matière « de cyber-espionnage et de cyber-crime ». Car étonnamment, poursuit Bob Martin, du Mitre (organisme à but non lucratif travaillant à la sécurisation des systèmes gouvernementaux américains), « la plupart de ces erreurs ne sont pas bien connues des développeurs ; le moyen de les éviter peu enseigné par les écoles ; et leur présence rarement testée par les éditeurs de logiciels commerciaux ».

La liste des 25 erreurs de programmation :

Page suivante (2/2) >


Rejoignez reseaux-telecoms.net, commentez cet article
Nombre de commentaires postés (0) - Lire tous les commentaires
Pour commenter cet article inscrivez vous ou identifiez vous ci-dessous si vous êtes déjà inscrit :

Email :
Mot de passe :  oublié ?
Mémoriser mes identifiants
L'ACTUALITÉ DU JOUR
Un pas de plus vers les paiements sans contact avec la certification EAL 4+ d'une carte SIM NFC

Les paiements sans contact depuis un mobile se rapprochent chaque jour de la réalité. Le (...)

CANAL+ progresse dans la dématérialisation des contrats avec ses points de vente

CANAL+ dématérialise certains éléments contractuels qui le lient à son réseau commercial. (...)

CDSE : prévenir et réagir face aux pertes de données

Le Club des Directeurs de Sécurité des Entreprises édite une revue quadrimestrielle (...)

Les RSSI disposent d'une nouvelle communauté

A côté d'associations comme le Clusif et les Clusir ou de la communauté du Cercle (...)

Les médecins mis à l'amende en 2012 pour refus de la dématérialisation

L'Assurance maladie a précisé, lundi 3 janvier, que la taxe de 50 centimes d'euro (...)

Le Syndicat de l'Intelligence Economique reçoit l'appui du délégué interministériel

Par voie de communiqué, Olivier Buquen, délégué interministériel à l'Intelligence (...)

La Banque de France victime d'une attaque de Phishing

La Banque de France met en garde le public après avoir été alertée, le vendredi 17 (...)

Recherche



Sondage flash

Agenda