网络安全 频道

开源Java框架带来的应用安全风险

  【IT168 评论】Java安全风险是重所周知的,但是您是否了解一些开源Java框架的安全问题呢?例如,Struts、Hibernate、JavaEE。哪一个框架最安全,又有哪些措施可以提高它们的安全性?

  只要开发者认真学习,许多开源Java框架都可以帮助完成应用开发。框架可以提高开发者生产力,但是大多数人都必须经过足够的学习过程,才能发挥框架的真正作用。CAST最近发布了一份报告,其中显示最流行的开源Java框架是Struts、JavaEE、Hibernate和Spring。然而,没有一种框架提供了足够的安全性,或者保证完美无瑕的代码。

  为了寻找最安全的框架,CAST调查了496个应用程序的1.52亿行代码,结果发现最大的问题是,大部分应用实际上都有错误配置。我并不确定这些统计结果是否可以推断出其他一些调查结果,但是这个结果突出了培训的重要性,只有通过培训才能让开发者知道如何正确使用所选择的框架。

  任何应用开发的计划阶段都应该确定一组特定的安全需求,如身份验证、授权和加密方式,使开发团队能够选择最适合这些需求的框架。而且,有可能需要使用多个框架才能支持所有需求,但是这样可能增加应用程序的整合难度。

  我个人认为,使用好的框架确实可以提高编码质量和减少Bug数量。CAST报告显示,不使用任何框架的应用程序会出现各种质量问题。影响框架选择的其他因素包括文档质量,特别是安全API的文档,因为它们可能非常复杂,显然有严格的使用要求。另一个问题是框架用户社区的响应速度,因为这是获取帮助和支持的重要来源。

  要提高框架安全性,有时需要修改其他人的代码,而这是非常难的。他们发布的任何更新或补丁都可能覆盖您所作的修改,或者影响它们的行为。如果您发现它很重要,那么必须检查所有处理用户输入及应用入口的代码。输入是否有效?是否处理了所有特殊字符或特殊值?如果没有,那么您必须自己增加验证和过滤功能,保证传递到应用程序的数据一定是安全的。

  在使用任何第三方代码或应用程序时,您必须紧跟供应商或Bug列表,及时了解所有安全警报。例如,Aspect Security的研究人员发现,Spring框架的“表达式语言”功能有一个缺陷,它允许执行远程代码,可能完全破坏相应用程序。这个问题很难解决,目前的建议是关闭表达式语言特性。如果开发者不了解这些漏洞,那么他们的应用程序就有可能无法避免这些攻击。开发团队应该有一位成员负责跟踪编程语言及开发工具的安全更新,而且他要知道如何处理警报和重要补丁更新。

0
相关文章