华克斯信息-源代码检测工具fortify sca

Fortify软件

强化静态代码分析器

使软件更快地生产

“将FINDBUGS XML转换为HP FORTIFY SCA FPR | MAIN | CA特权身份管理员安全研究白皮书?

强化针对JSSE API的SCA自定义规则滥用

安全套接字层（SSL / TLS）是使用加密过程提供身份验证，机mi性和完整性的广泛使用的网络安全通信协议。为确保该方的身份，必须交换和验证X.509证书。一方当事人进行身份验证后，协议将提供加密连接。用于SSL加密的算法包括一个安全的散列函数，保证了数据的完整性。

当使用SSL / TLS时，必须执行以下两个步骤，以确保中间没有人篡改通道：

证书链信任验证：X.509证书指ding颁发证书的证书颁发机构（CA）的名称。服务器还向客户端发送中间CA的证书列表到根CA。客户端验证每个证书的签名，到期（以及其他检查范围，例如撤销，基本约束，策略约束等），从下一级到根CA的服务器证书开始。如果算法到达链中的后一个证书，没有违规，则验证成功。

主机名验证：建立信任链后，客户端必须验证X.509证书的主题是否与所请求的服务器的完全限定的DNS名称相匹配。 RFC2818规定使用SubjectAltNames和Common Name进行向后兼容。

当安全地使用SSL / TLS API并且可能导致应用程序通过受攻击的SSL / TLS通道传输敏感信息时，可能会发生以下错误使用情况。

证明所有证书

应用程序实现一个自定义的TrustManager，使其逻辑将信任每个呈现的服务器证书，而不执行信任链验证。

TrustManager [] trustAllCerts = new TrustManager [] {

       新的X509TrustManager（）{

...

  public void checkServerTrusted（X509Certificate [] certs，

                String authType）源代码检测工具fortify sca

}

这种情况通常来自于自签证书被广泛使用的开发环境。根据我们的经验，我们通常会发现开发人员完全禁用证书验证，而不是将证书加载到密钥库中。这导致这种危险的编码模式意外地进入生产版本。

当这种情况发生时，它类似于从烟雾探测器中取出电池：检测器（验证）将仍然存在，提供错误的安全感，因为它不会检测烟雾（不可信方）。实际上，当客户端连接到服务器时，验证例程将乐意接受任何服务器证书。

在GitHub上搜索上述弱势代码可以返回13，823个结果。另外在StackOverflow上，一些问题询问如何忽略证书错误，获取类似于上述易受攻击的代码的回复。这是关于投piao建议禁用任何信任管理。

Fortify软件

强化静态代码分析器

使软件更快地生产

HP Fortify静态代码分析器

Fortify SCA 5.0提供从未在应用程序安全性中提供的功能，涵盖企业需要加速安全开发的三个关键领域：

    - 定制 - 绝大多数今天的企业都有自定义的

      应用程序，安全过程和反映他们的编码风格

      竞争力。任何成功的应用安全实现

      必须适应各企业发展需要的性。

      Fortify SCA 5.0使企业能够为其创建自定义规则

      他们的任务关键应用程序，以及给安全人员

      和其他非开发团队成员有能力创建规则

      分钟，而不是几天，而不需要先前的编码

      经验。

    - 协作 - 安全审核员的扩展团队，合规性

      ，发展主管和管理软件

      发展跨度时区和组织图。强化SCA 5.0

      使开发人员和审计人员能够在代码审查，安全性方面进行协作

      错误分类和审核作为一个复杂的开发项目的团队。

    - 全mian 

- Fortify帮助企业部署全mian的

      保护过去，现在和未来应用的安全策略。如

      不断变化的黑ke带来了新的漏洞类

      景观和新技术，如Web 2.0。并且继续使用漏洞

      要发展，安全和发展团队必须采取一切可能的步骤

      确保他们的软件。通过PHP和JavaScript支持，Fortify SCA

      5.0帮助开发团队面向未来的应用程序。为了遗产

      应用程序，Fortify SCA 5.0将支持COBOL和Classic ASP

      保护旧的任务关键型应用程序 - 特别是它们

      由SOA部署暴露。

“选择应用程序安全测试技术时，企业应该将这些产品集成到流xing的开发和测试工作室（如Eclipse或Visual Studio）中，分析编程语言的数量以及测试能力的速度和规模，”Joseph说费曼，Gartner副总裁兼Gartner研究员。

“存托信托结算公司通过其子公司为股piao，公司和市政，货币市场工具，和担bao证券以及非处fang衍生工具提供，结算和信息服务，我们是共同基jin和保险交易的领xian处理商，将基jin和运营商与其分销网络联系起来，安全性对我们的业务至关重要，“DTCC信息安全官员Jim Routh说。 “像许多企业一样，我们的软件基础设施是传统应用程序和新应用程序的结合，因此我们需要一种解决方案，可以处理我们环境中的技术多样性，并将其轻松集成到我们的开发环境中。这样有效“。

Fortify公司的Barmak Meftah补充说：“Fortify一直是广泛覆盖语言，平台和IDE（集成开发环境）的，随着这一发布，我们将领导层扩展到四种新语言并支持RSA IDE。产品与服务副总裁。 “Fortify SCA 5.0为我们的客户提供了更深层次的控制，分析和协作，以保护他们免受许多流xing和快速发展的Web 2.0编程语言和技术（包括JavaScript和PHP）中的威胁。

Fortify软件

强化静态代码分析器

使软件更快地生产

HP Fortify静态代码分析器

Fortify SCA 5.0设置了一个全mian的新酒吧

Fortify SCA 5.0通过分析360技术增强了行业领xian的分析仪功能，可以处理安全开发面临的da问题，福建fortify sca，以及新的不断发展的攻击。通过分析360，Fortify SCA减少了错误的否定，以确保没有错过，同时da限度地减少误报，所以开发侧重于关键的代码问题。使用Fortify SCA 5.0，已经添加或增强了分析功能，以提高精度，包括：

    - 多维色彩传播 - 此功能有助于

      找到远程可利用的错误，这对于查找特别有用

      隐私管理故障和其他与PCI有关的错误。

    - 基于约束的漏洞排名 - 提取一组布尔值

      来自代码的约束方程，源代码审计工具fortify sca，并使用约束求解器进行排序

      错误的编码实践可能被利用的可能性的。

    - 过程间数据流分析 - 使用有限状态自动机

      通过代码模拟可能的执行路径。

    - 关联故障诊断 - 允许用户消除整个

      通过将跟随相同的结果相关联的假阳性类

      代码模式。

   Fortify SCA 5.0增加了对四种新编程语言的支持

    - 经典ASP - 今天，成千上万的遗留应用程序写入

      经典的ASP需要针对普通的，的

      漏洞，如SQL注入和跨站点脚本。

    - COBOL - 几十年前发明 - 在应用程序安全性之前很久

      COBOL的重要性随着企业曝光而重新浮出水面

      系统通过面向服务架构（SOA）的举措。

    - JavaScript - 今天，JavaScript可能是增长快的编程

      语言 - 其安全问题已经有很好的记录 - 包括

      Fortify发现JavaScript劫持。

    - PHP - 近的扬基集团报告“Web 2.0安全列车残骸”

      （Andrew Jaquith，2017年10月），引用“几个流行应用程序”

      基于PHP框架，源代码扫描工具fortify sca，如phpBB，具有惊人的安全性

      跟踪记录，“补充说，”PHP开发人员往往是“scripters”

      没有正式的安全培训。“强化SCA 5.0给了大的和

      越来越多的PHP开发人员自动清理系统代码。

要了解有关Fortify SCA 5.0的更多信息，请于11月13日上午11点至12点举行Fortify网络研讨会“强化SCA 5.0：无边界应用安全”。 Pacific，华克斯。

关于Fortify Software，Inc.

Fortify?软件产品可以保护企业免受关键业务软件应用程序安全漏洞所带来的威胁。其软件安全产品 - Fortify SCA，Fortify Manager，Fortify Tracer和Fortify Defender - 通过自动化开发和部署安全应用程序的关键流程降低成本和安全风险。 Fortify Software的客户包括机构和财富500强企业，如金融服务，医liao保健，源代码检测工具fortify sca，电子商务，电信，出版，保险，系统集成和信息管理。该公司得到世界ji软件安全和合作伙伴的支持。更多信息，