Жизненный цикл безопасного ПО: языки, стеки и четыре дефекта

Чем «программа работает» отличается от «программу можно выпускать»?

Это единственный вопрос, ради которого собран весь день. Ответ на него мы дадим в разделе 16 — а пока стоит записать свою версию на бумаге и не подглядывать.

Представьте: вы написали программу. Она запускается, считает правильно, вы проверили её на нескольких примерах. Всё сходится.

Готова ли она к тому, чтобы её выпустить?

Типичные ответы: «надо ещё потестировать», «надо написать документацию», «надо чтобы интерфейс был поприличнее». Всё это верно — и всё это описывает меньше половины того, что на самом деле отделяет работающий код от продукта, который можно отдать людям.

Что мы сделаем за день

Приложение одно и то же на протяжении всего дня — журнал учёта машинных носителей информации. Предметная область знакомая: инвентарный номер, тип носителя, гриф, ответственный. Задачи простые: добавить, найти, выгрузить отчёт. Именно поэтому на нём хорошо видно всё остальное.

Жизненный цикл программного обеспечения

В этой лекции жизненный цикл представлен как семь этапов — это авторская учебная модель для разговора о свидетельствах выпуска.

требования → проектирование → реализация → тестирование → выпуск → сопровождение → вывод из эксплуатации

Стандарты и организации могут называть, объединять и повторять этапы по-разному. Методологии отличаются не только длиной итерации, но и ролями, артефактами, обратной связью и способом выпуска.

Сдвиг влево и ГОСТ Р 56939-2024

Если нарисовать жизненный цикл слева направо, «сдвиг влево» — это перенос работ по безопасности из правой части в левую.

Из тестирования и выпуска — в требования, проектирование и написание кода. Причина простая и считается в деньгах: чем позже найден дефект, тем больше вокруг него успело нарасти.

Обратите внимание: сама работа по исправлению во всех четырёх случаях примерно одинаковая. Разница — в слое обвязки, который нарастает вокруг неё со временем. Сдвиг влево не про «делать больше работы», а про «делать ту же работу тогда, когда вокруг неё ещё ничего не наросло».

Что говорит стандарт

ГОСТ Р 56939-2024 «Защита информации. Разработка безопасного программного обеспечения. Общие требования» описывает 25 процессов с нумерацией 5.1–5.25 — от планирования и обучения сотрудников до реагирования на уязвимости и вывода ПО из эксплуатации.

Процессы, которых касается сегодняшний день

Экстремальное программирование

Вторая половина 1990-х. Кент Бек, книга «Extreme Programming Explained» — 1999 год.

Идея заложена в названии. Возьмём практики, которые все считают полезными, и доведём их до предела:

• Ревью кода полезно? Тогда пусть код пишут двое за одним экраном — ревью станет непрерывным.
• Тесты полезны? Тогда будем писать тест до кода.
• Интеграция полезна? Тогда будем интегрировать несколько раз в день, а не раз в квартал.

Двенадцать практик

Четыре практики XP, которые являются мерами безопасности

Отдельно стоит сказать про 40-часовую неделю. В списке практик она выглядит неуместно — при чём тут инженерия? При том, что усталый разработчик даёт больше дефектов, а дефект, найденный на проде, стоит в сотни раз дороже переработки, которая его породила. Устойчивый темп — это тоже мера безопасности, просто она измеряется не в коде.

Десять слоёв современной разработки

Когда говорят «стек технологий», имеют в виду набор выборов — по одному на каждом слое. Слоёв примерно десять.

Где какой язык живёт

Вопрос «какой язык лучше» не имеет ответа. Вопрос «какой язык для какой задачи» — имеет.

Расписание сегодняшнего дня называет четыре языка: Assembler, Python, Delphi, C#. Выбор не случайный — это четыре разных уровня отношений с памятью, и в разделе 10 мы посмотрим на них на одной и той же задаче.

Библиотека, фреймворк, платформа

Различие определяется одним признаком — кто кого вызывает.

Платформа — .NET, JVM, Docker — определяет, где и как вы вообще можете быть вызваны. Она задаёт правила игры до того, как в неё вступит и ваш код, и фреймворк.

Кто ещё участвует в разработке

Часть кода сегодня создаётся с помощью ИИ-ассистентов, и это уже обычная практика, а не экзотика. Для РБПО важны три вещи.

Задача дня: журнал учёта носителей

Приложение намеренно маленькое. Всё интересное сегодня — не в нём, а вокруг него.

Учётная запись: инвентарный номер, тип носителя, гриф, ответственный.
Функции: добавить носитель, найти по номеру или ФИО, выгрузить отчёт в файл.

Требования безопасности через «никогда»

Формулировка через «никогда» — не стилистический приём. Такое требование почти механически превращается в тест, и мы это увидим в разделе 13.

1. Поиск для обычного пользователя никогда не возвращает записи с грифом «Конфиденциально».
2. Отчёт никогда не записывается за пределы каталога выгрузки.
3. Служебный токен никогда не хранится в исходном коде.
4. Служебный токен никогда не попадает в журнал приложения.
5. Запись с невалидными данными никогда не попадает в журнал.

Мини-модель угроз

От словаря к классу

Первая версия журнала хранит записи в словарях. Она работает. И в ней уже три дефекта.

record = {"inv": "МНИ-001", "kind": "USB-флеш",
          "label": "ДСП", "owner": "Иванова А. П."}

@dataclass(frozen=True)
class Medium:
    inv: str
    kind: str
    label: str
    owner: str

    def __post_init__(self) -> None:
        if not INV_PATTERN.match(self.inv):
            raise ValidationError(...)
        if self.kind not in ALLOWED_KINDS:
            raise ValidationError(...)

Три изменения, и каждое — мера безопасности:

• Набор полей фиксирован. Опечатка в имени поля теперь ошибка, а не тихое расхождение данных.
• frozen=True — запись неизменяема. Учётную запись нельзя тихо поменять в обход журнала. Значит, все изменения проходят через журнал. Значит, все изменения можно записать.
• Проверка в конструкторе. Невалидный объект нельзя создать вообще — ни из формы, ни из импорта CSV, ни из теста, ни из кода, который ещё не написан.

Белый список против чёрного

В справочниках мы перечисляем разрешённые типы носителей и грифы, а не запрещённые.

ALLOWED_KINDS = ("USB-флеш", "HDD", "SSD", "CD/DVD", "Карта памяти")
ALLOWED_LABELS = ("Открыто", "ДСП", "Конфиденциально")

Причина простая: перечислить всё разрешённое реально. Перечислить всё запрещённое — нет. Всегда найдётся способ записать то же самое иначе, и этот способ обнаружит не тот, кто пишет фильтр.

Четыре языка, одна задача

Задача: скопировать строку в буфер размером ровно 16 символов. Строка длиннее буфера. Четыре языка — четыре разных ответа на вопрос «а кто за этим следит».

copy_name:
    lea     rdi, [rel buffer]   ; куда копируем
.loop:
    mov     al, [rsi]           ; взять байт источника
    mov     [rdi], al           ; положить в приёмник
    inc     rsi
    inc     rdi
    test    al, al              ; дошли до нуля?
    jnz     .loop               ; нет — продолжаем
    ret

{$RANGECHECKS ON}
type TBuffer = array[0..15] of Char;

char[] buffer = new char[16];
buffer[i] = source[i];   // IndexOutOfRangeException при i >= 16

buffer = [""] * 16
buffer[i] = source[i]   # IndexError

# а так эту задачу пишут в реальной жизни:
result = source[:16]   # срез никогда не выходит за границы

Итоговая таблица

Языки, где безопасность памяти обеспечивается средой или компилятором, называют memory-safe: C#, Java, Python, Go, Rust. Языки, где она лежит на программисте: C, C++, ассемблер.

Четыре дефекта безопасности

Все четыре живут в файле step3_defect.py. Их нужно найти, назвать по CWE и исправить. Порядок разбора — от самого наглядного.

Д3 · Внедрение SQL-кода · CWE-89

Функция find_public по замыслу обязана возвращать только записи с грифом «Открыто».

sql = ("SELECT inv, kind, label, owner FROM media "
       "WHERE label = 'Открыто' AND owner LIKE '%" + query + "%'")

Введём строку %' OR label LIKE '% — и получится вот такой запрос:

SELECT ... WHERE label = 'Открыто' AND owner LIKE '%%' OR label LIKE '%%'

В SQL операция AND связывает сильнее, чем OR. Значит, условие читается так:

(label = 'Открыто' AND owner LIKE '%%')   ИЛИ   (label LIKE '%%')

Второе слагаемое истинно для любой строки: % в LIKE означает «любая последовательность символов». Дизъюнкция с истиной даёт истину — и фильтр по грифу перестаёт что-либо значить.

  Тот же поиск, но пользователь ввёл специальную строку:
      ('МНИ-001', 'USB-флеш', 'Открыто', 'Иванова А. П.')
      ('МНИ-002', 'HDD', 'Открыто', 'Петров С. И.')
      ('МНИ-003', 'SSD', 'Конфиденциально', 'Сидорова М. К.')
      ('МНИ-004', 'USB-флеш', 'Конфиденциально', 'Кузнецов Д. А.')

  Утекло записей с грифом «Конфиденциально»: 2
  Функция обязана была вернуть 0 таких записей.

sql = ("SELECT inv, kind, label, owner FROM media "
       "WHERE label = 'Открыто' AND owner LIKE ?")
return connection.execute(sql, (f"%{query}%",)).fetchall()

Текст запроса — константа, известная на этапе написания кода. Значения передаются отдельно. База разбирает запрос до того, как увидит данные — поэтому данные уже не могут стать командой.

Д4 · Выход за пределы каталога · CWE-22

path = Path(os.path.join(EXPORT_DIR, filename))

Имя файла приходит снаружи. Передайте ../../отчёт.txt — и файл уйдёт за пределы каталога выгрузки, туда, куда программе писать не положено.

base = EXPORT_DIR.resolve()
candidate = (base / filename.replace("\\", "/")).resolve()
if not candidate.is_relative_to(base):
    raise ValueError("Имя файла выводит за пределы каталога выгрузки")

resolve() приводит путь к каноническому виду и убирает ... Затем проверяем, что результат действительно лежит внутри разрешённого каталога.

Д1 · Секрет в исходном коде · CWE-798

ADMIN_TOKEN = "s3cr3t-admin-token-training"

Такой токен уезжает в систему контроля версий и остаётся в её истории навсегда. Удаление строки следующим коммитом ничего не меняет: старые коммиты никуда не делись, и git log -p их покажет. Сменить токен можно только пересборкой и перевыпуском программы.

def get_admin_token() -> str:
    token = os.environ.get("MEDIA_JOURNAL_ADMIN_TOKEN")
    if not token:
        raise RuntimeError("Не задана переменная окружения...")
    return token

В коде остаётся только имя переменной. Сам секрет живёт в окружении процесса, в файле .env (добавленном в .gitignore) или в менеджере секретов.

Д2 · Секрет в журнале приложения · CWE-532

logging.info("Попытка входа: пользователь=%s токен=%s", user, token)

Журналы читает больше людей, чем исходный код: их собирают в SIEM, выгружают в тикеты, прикладывают к обращениям в поддержку. Секрет в журнале — это секрет, розданный всем этим людям.

def mask(secret: str) -> str:
    if len(secret) <= 4:
        return "***"
    return f"{secret[:2]}***{secret[-2:]} (длина {len(secret)})"

logging.info("Попытка входа: пользователь=%s токен=%s", user, mask(token))

Заодно в эталоне сравнение токенов сделано через hmac.compare_digest: обычное == завершается на первом несовпавшем символе, поэтому по времени ответа секрет можно подобрать посимвольно.

Чего не лечит выбор языка

Все четыре дефекта из предыдущего раздела воспроизводятся на любом языке — на C#, на Java, на Go. Memory safety тут не помогает вообще.

Три класса дефектов, от которых язык не спасает

Тесты и регрессии безопасности

Два вида тестов, и разница между ними — главная мысль последней пары.

Пока регрессионный тест зелёный, дефект не может вернуться в код незамеченным. Это процесс 5.18 ГОСТ Р 56939-2024 в самом дешёвом исполнении: одна функция вместо целого регламента.

def test_d3_sql_injection_does_not_leak_confidential(self):
    payload = "%' OR label LIKE '%"
    rows = step3_fixed.find_public(self.connection, payload)
    leaked = [row for row in rows if row[2] == "Конфиденциально"]
    self.assertEqual(leaked, [])

Красное перед зелёным

Тест, который никогда не падал, ничего не доказывает. Прежде чем поверить тесту, убедитесь, что он умеет краснеть.

# подставляем дефектную версию вместо исправленной
import step3_defect as step3_fixed

# на исправленной версии
Ran 19 tests in 0.006s
OK

# на дефектной версии
Ran 8 tests in 0.012s
FAILED (failures=6, errors=9)

Тесты падают — значит, они действительно проверяют то, что заявлено. Только теперь им можно верить.

Линтер, SAST, SCA — разные инструменты

Их часто валят в одну кучу под словом «анализаторы». Это разные инструменты для разных задач, и подмена одного другим — типичная ошибка при внедрении.

$ py -m ruff check step3_defect.py

F841 Local variable `lines` is assigned to but never used
   --> step3_defect.py:105:5
Found 1 error.

В текущем учебном файле ожидаются правила B105 hardcoded_password_string для константы ADMIN_TOKEN и B608 hardcoded_sql_expressions для вероятного формирования SQL-строки. B608 — эвристический кандидат, а не доказательство эксплуатируемости или отсутствия SQL-инъекции: возможны ложные срабатывания и пропуски.

Конвейер и релиз

Конвейер РБПО — это те же самые команды, которые вы вводили руками, только запускаемые автоматически при каждом изменении кода.

stages: [lint, test, security]

lint:
  script:
    - ruff check .

test:
  script:
    - python -m unittest -v test_journal.py

sast:
  script:
    - bandit -r .

sca:
  script:
    - pip-audit --requirement requirements-dev.txt
  allow_failure: true

В этом и состоит вся идея непрерывной интеграции: проверки выполняются не тогда, когда о них вспомнили, а всегда.

Quality gate

Шаг, отрицательный результат которого останавливает сборку, называется quality gate.

Мини-паспорт РБПО учебного приложения

Ответ на вопрос дня

Чем «программа работает» отличается от «программу можно выпускать»?

Разницей в проверяемых свидетельствах. Работающий код — это одно свидетельство. Вот полный список:

• Сформулированные требования, в том числе требования безопасности через «никогда»
• Модель угроз — пусть на пять строк, но написанная
• Контроль ввода, встроенный в структуру данных, а не приделанный сбоку
• Работающий код — то самое единственное свидетельство, с которого все начинают
• Функциональные тесты
• Регрессионные тесты безопасности, проверенные на дефектной версии
• Отчёт линтера
• Отчёт анализатора безопасности
• Отчёт композиционного анализа зависимостей
• История изменений в системе контроля версий
• Отсутствие секретов в коде и в истории репозитория
• Воспроизводимая сборка с зафиксированными параметрами компиляции
• Зафиксированная версия выпуска
• Честный перечень того, чего в продукте нет

Связанные учебные модули

Скачать все материалы одним архивом

В архиве — эта лекция целиком, конспект, практические задания и весь учебный код. Лекция внутри архива открывается без интернета, и ссылки на файлы комплекта — конспект, задания, код — из неё работают. Ссылки на внешние источники, разумеется, требуют интернета. Разбирать и программировать можно дома, в поезде и на даче.

Что почитать

• ГОСТ Р 56939-2024 — выборочно по процессам сегодняшнего дня: 5.8, 5.9, 5.10, 5.12, 5.18
• Банк данных угроз ФСТЭК России — bdu.fstec.ru
• CWE — cwe.mitre.org, поиск по номерам занятия: CWE-89, CWE-22, CWE-798, CWE-532, CWE-787
• OWASP Top 10 — перечень наиболее критичных рисков веб-приложений
• Kent Beck. Extreme Programming Explained — первоисточник по XP