Standards für sichere Programmierung geplant

Das SPC plant Standards einzuführen, nach denen die Kenntnisse von Software-Entwicklern zu sicherem Programmieren speziell für Web-Anwendungen getestet werden können. Insgesamt sollen sechs entsprechende Richtlinien eingeführt werden. Ein Entwurf zu sicherer Programmierung unter Java und JavaEE wurde bereits vorgestellt. Vergleichbare Richtlinien für sichere Programmierung in C, C++, .Net, PHP und Perl sollen folgen.

Als erstes hat das Secure Programming Council einen Entwurf über ‘Essential Skills for Secure Programmers Using Java/JavaEE’ vorgestellt. Das entsprechende Dokument wurde auf der Website des SANS Software Security Institute veröffentlicht. Zu wichtigen Fähigkeiten zählen demnach unter anderem Validierungs-Techniken im Bereich Datenverarbeitung, Kenntnisse über Zugriffskontrolle und ein Verständnis, wann und wie Datenverschlüsselung eingesetzt werden muss. Der Entwurf ist für Kommentare freigegeben. Bis zum 1. Dezember eingehende Vorschläge sollen in der nächsten Version passend berücksichtigt werden und die Standards so weiter verbessern.

Zur Überprüfung der definierten, essenziellen Fähigkeiten von Programmierungen hat das Secure Programming Council laut Essential-Skills-Dokument bereits Tests entworfen. Unter Aufsicht des SANS Institute werden entsprechende GIAC-Secure-Software-Programmer-Prüfungen noch in diesem Jahr – am 5. Dezember in London und am 12. Dezember in Washington D.C. – abgehalten. Zu diesen Terminen wurden vom SANS Institute neben den Java/JavaEE-Prüfungen auch schon entsprechende C-Prüfungen angekündigt.

“Ein Großteil der Sicherheitslücken in Web-Anwendungen ist unserer Erfahrung nach auf die Entwickler zurückzuführen”, meint Franz Wagner, Senior Sales Engineer bei der Internet Security AG. Er will die SPC-Initiativen nicht direkt kommentieren, meint aber: “Entsprechende Wissensstandards zu definieren und zu testen, ist sicher ein Anfang, um die Situation zu verbessern.” Skeptischer gibt sich Robert Kaiser, Entwickler bei SeaMonkey. “Ob ein Programmierer über mögliche Sicherheitsprobleme seines Codes Bescheid weiß, hat fast keinen Einfluss darauf, ob er dann solche Probleme vermeidet”, so Kaiser.

Am Secure Programming Council sind über 40 Organisationen beteiligt, darunter Booz Allen Hamilton, Ounce Labs, Deloitte and Touche, Kaiser Permanente, Firsthand Technologies, OWASP, Morgan Stanley, Tata Consulting, Neohapsis, Watchfire, Fortifyi, Amazon und Stach & Liu.