Discussion :

[parrot]

Quels outils d'analyse de code source utilisez-vous pour découvrir les problèmes de sécurité?
Venez partager votre expérience avec la communauté Développez



Il existe des outils analysant le code source afin d'y détecter des erreurs de programmation ou même des problèmes de sécurité. Certains sont gratuits (FindBug, PMD pour java, FxCop pour dotNET), d'autres commerciaux et très chers (IBM Rational AppScan Source, HP Fortify,...).

A l'heure où les attaques sur les applications internet se multiplient, de nombreux experts recommandent l'utilisation de ces outils.

Et vous ?

Quelles sont vos expériences avec ces outils? Lequel utilisez-vous et pourquoi celui-là? Auxquels avez-vous (ou votre entreprise) renoncé, pour quelles raisons? Comment sont-ils intégrés dans le processus de développement?

N'hésitez pas àpartager votre expérience avec la communauté Développez

[Jonathan38]

Devant la foule de reponse a ce topic..on peut en déduire que personnes ne teste la sécurité de ses applis !!

[elmcherqui]

Topic très très très intéressant , et pour ma part je n'utilise aucun plugin et sa m'intéresserais de profiter de l'expérience des autres sur ce sujet .

[kaymak]

Devant la foule de reponse a ce topic..on peut en déduire que personnes ne teste la sécurité de ses applis !!

hello,

amha, l'analyse dynamique à plus de popularité. Cela me semble plus simple et plus concret. C'est d'ailleurs ma méthode de prédilection.

Je n'ai jamais pratiqué l'analyse statique d'un source code pour en découvrir ces failles, mais j'ai si je devais le faire, ma crainte serait que les messages renvoyés par l'analyseur soient complètement cryptique, et ou peu probant.

Cependant je reste curieux des retours d'expérience dans ce domaine.

a plus

[bi_turbo]

Hello!
Quand à moi, j'utilise Polyspace . Ex frenchie appartenant maintenant à
The mathworks.

[if_zen]

Est-ce que ça existe au moins ?

Je pense que ça dépend beaucoup de la plateforme. On ne devrait pas du tout trouver les mêmes outils pour analyser un site web et ses failles css, que pour une appli lourde avec ses flux réseaux (Tiens ça me fait penser à l'ex Ethereal, SiW je crois, pour commencer à citer un outil), ses accès mémoire (heuu, de tête valgrind pour les applis en C ?), les fuites (jprobe, et l'équivalent gratuit fourni avec la JDK pour Java), ses accès aux ressources et périphériques systèmes (et là encore, on divise entre W$, Nux et la pomme)... Et encore j'oublie sûrement d'autres sujets.
Je pense que je sujet "sécurité" est bien trop large pour que les gens y répondent exhaustivement, et surtout, pour qu'on y trouve un logiciel capable de tout faire.

En tout cas je suis comme les personnes précédentes : les retours m'intéressent beaucoup.

[Pignoufy]

Les dave de mon appli sont en java et j'ai par curiosité lancé findbugs... Et bien ce fut très intéressant ! Ce qu'il dit est vrai (en tout cas pour les points que j'ai regardé) je le recommande donc.

Maintenant la philosophie de ma boite est plutôt basée sur des revues de pairs qui ont une plus value car effectuée par des developeurs confirmés. Mais cette pratique est bonne lorsqu'elle est régulière ET fréquente.

Une combinaison des 2 est, a mon avis, une bonne approche.

[if_zen]

@Pignoufy : Intéressant pour findbugs. J'ai également entendu parler de Metrics et de PMD pour les programmes Java (mais j'ai peur qu'on s'éloigne du sujet de la sécurité là).

Les revues de pairs est-elle une pratique plutôt répandue dans l'entreprise ? Chez nous on n'a pas encore franchi le pas, mais on pourrait y songer.

[Pignoufy]

Effectivement on s'éloigne un peu du sujet mais cela t'interesse on peut en discuter par MP ou ouvrir une nouvelle discussion sur le sujet ?...

Je viens de relire le sujet initial du post (que j'avais lu un peu trop vite ) : la question porte surtout sur les applications web, ce qui n'est pas le style d'appli que j'ai pu développé durant ces dernières années.

Dans tous les cas, l'utilisation d'outils d'analyse de code, de déverminage est un réflexe à avoir surtout qu'ils peuvent être dans le vrai ! Dans un environnement d'intégration continu, ces rapports peuvent générés toutes les nuits (et oui, les machines n'ont pas de syndic ) et envoyés à qui de droit pour gérer au mieux les développements et surtout éviter les dérives qui peuvent coûtées chères si elles sont découvertes tardivement...

[miaous]

Perso FindBugs
Et il marche bien

[parrot]

Je viens de relire le sujet initial du post (que j'avais lu un peu trop vite ) : la question porte surtout sur les applications web, ce qui n'est pas le style d'appli que j'ai pu développé durant ces dernières années.

Si j'ai porté ma question sur les applications web, c'est parce qu'elles représentent la majorité des applis développées dans ma boîte. Et parce qu'elles sont a priori les plus exposées. Toutefois, d'autres applications peuvent être sensibles car utilisant internet (pour charger des données, des mises à jour, des informations géographiques, des bibliothèques de code, des rapports d'erreur,...). Un retour serait aussi intéressant!

[max-mag]

Chez nous c'est du dev php / ajax.
J'avais ouvert un post à une époque, sans grand succès non plus !
http://www.developpez.net/forums/d96...-utilisez-php/

Je n'ai pas encore trouver l'outil ultime
Ratproxy est pas mal. C'est à peu près le seul qui est "validé" en interne, surtout pour le javascript.

Sinon, phpsecaudit et w3af. Mais je cherche mieux ...

[Virgil Scipion]

Un outil pour rechercher les failles de sécurité...

Hé bien chez nous c'est juste l'être humain.
Parce qu'avant de se poser ce genre de questions, il faudrait que les mots de passe ne soient pas en clair dans les tables et surtout que les personnes qui s'occupent du SAV évitent de donner un mot de passe à un type qui le demande au téléphone et ne fournit rien de plus que son nom et celui de sa société

[Vince78]

J'ai mis en place Sonar pour l'analyse statique et dynamique des prog java (via CheckStyle, Cobertura, PMD et FindBug).

Pour répondre à la question, FindBug détecte, en autres, les failles de sécurité les plus courante.
De mon point de vue, il est très efficace et rarement remis en cause.

J'en profite aussi pour faire un feedback sur les outils OpenSource C++ :
CppCheck --> équivalent java de Find bug + CheckStyle
Flawfinder --> security weaknesses
RATS --> Security weaknesses
AntiC --> Find bug

@+

[cdubet]

java : findbugs
C/C++: polyspace (projet embarque en c), glowcode (C++/windows), purify.

l idee en general n etait pas vraiment de verifier la securite de l application (a par dans le cas ou on a utilise polyspace) mais plus de resoudre des problemes de fuite de memoire.
dans le cas de findbugs, c etait une initiative perso, couplee aux revus de code organisees par ma societe

avis perso:
purify est tres bien :-) .

glowcode est nettement moins pratique a utiliser

polyspace sort enormement de problems qui peuvent etre dans certains cas des fausses alertes (faux positifs). etant donné le temps pour investiguer chaque probleme, la majeur partie des problemes ont ete ignores (polyspace classe les problemes en rouge, orange et jaune). On a regarde que les cas classés rouge. On avait tort, on a trouve plus tard par hasard un probleme serieux par hasard. celui ci avait ete detecte par polyspace mais classe orange
Polyspace ne connaissant pas l application, il ne peut deduire les effets du probleme (par ex un overflow sur une variable avait ete la cause de la perte de la premiere ariane V. a priori pas un bug super mechant)

[trident_job]

Pour les applications C/C++, nous utilisons deux outils differents :

* Un Rule Checker - Vérificateur de règles. QAC/QaC++ de chez PRQA.
* Un Static Analyzer - Analyse statique de code. CodeSonar de chez Gammatech.

Le premier vérifie les bonnes pratiques de codage, y compris les règles de codage en vigueur dans l'entreprise.
Ce genre d'outil trouve peu de bugs, mais plutôt des faiblesses dans la maintenabilité, la portabilité, et un peu la robustesse.

Le second est plus orienté robustesse (puisqu'il compile et simule le code), il vérifie les chemin possibles et l'excursion des données pour détecter des problèmes mémoire, de non-initialisation de donnée, d'overflow et de code mort.

Bien sûr, cela n'empêche pas les relectures croisées ... mais sur de grosses applications, les outils aident bien ... mais il faut relativiser : ce n'est pas magique !

[vic78]

Bonjour,
Réponse légèrement tardive, mais comme dit le proverbe "mieux vaut tard ...."

C'est une question très intéressante, je suis, entre autres, responsable sécurité logicielle dans une SSII et je traite ce sujet très au sérieux.

J'utilise :
FindBugs : pour l'analyse du code
Acunetix : pour les failles de sécurité
Revue de code systématique avant déploiement

Cordialement
Vic

[kaymak]

Bonjour,
Réponse légèrement tardive, mais comme dit le proverbe "mieux vaut tard ...."

C'est une question très intéressante, je suis, entre autres, responsable sécurité logicielle dans une SSII et je traite ce sujet très au sérieux.

J'utilise :
FindBugs : pour l'analyse du code
Acunetix : pour les failles de sécurité
Revue de code systématique avant déploiement

Cordialement
Vic

hello,

aurais tu des ressources disponibles sur le web que tu sais particulièrement touffues sur ces sujets ?

a +

[vic78]

Salut kaymak
Je pose certainement une question idiote ..... mais tu souhaites avoir des ressources sur quoi ?
- Les outils (FindBugs, acunetix, etc.)
ou
- sur la sécurité logicielle en générale ?

[kaymak]

Salut kaymak
Je pose certainement une question idiote ..... mais tu souhaites avoir des ressources sur quoi ?
- Les outils (FindBugs, acunetix, etc.)
ou
- sur la sécurité logicielle en générale ?

Hello,

Merci de ta réponse, en fait des ressources utiles. C'est un peu simple comme réponse, mais souvent je cherche des ressources sur un sujet, et au premier abord je ne dispose pas des bons mots clés et je me retrouve avec des trucs complètement inutile, désuet, hors d'âge etc.

Alors que lorsqu'on commence à connaitre un peu le sujet, avec le champ lexical approprié, les ressources que l'on trouve sont bien meilleures.

La semaine dernière encore je découvrait jmeter, et il y à de tout comme ressources, des trucs bien, et des trucs moins bien, mais les bonnes ressources je ne les ai trouvées qu'après un certain apprentissage.

D'où ma question, qui vise en fait, je l'avoue, à profiter de ton expérience et de tes recherches !! : )
Après ma question était ici rapporté au sujet du thread, les procédures, outils, théories(?) sur le test de logiciel, en général, car je suis curieux de voir ce qu'il se fait pour tester des codes asm par exemple (si c'est seulement possible, c'est peut une ânerie comme exemple).

Ma question ne portait pas vraiment sur le fonctionnement des buffers/stack overflow ou autres plaisirs de la sécurité logicielle etc j'ai déjà quelques lectures à ce sujet, comme misc par exemple !

'fin voilà !

a +