Photo by
0000tttty
🚫ソースへ直書きの危険性 複雑なハードコードは、誰もが近づかなくなり、保守がめんどうなのでセキュリティホールになりえる CWE黙示録
ハードコードされたパスワードは、通常、システム管理者が発見することが困難な重大な認証障害につながります
いったん検出されると修正が困難なため、管理者は製品を完全に無効にすることを余儀なくされる場合があります。
インバウンド型とアウトバウンド型
インバウンド：ソフトウェアには、ハードコードされたパスワードをチェックする認証メカニズムが含まれています。
アウトバウンド：ソフトウェアが他のシステムまたはコンポーネントに接続し、そのコンポーネントに接続するためのハードコードされたパスワードが含まれています。
ほかにCWE-798 CWE-321 なども 798については最も危険なCWETOP25の１６位をキープしている
CWE１０５２ 初期化におけるハードコードされたリテラルの過剰使用 というのもあった
ソフトウェアが、複雑にハードコードされたリテラルを使用してデータ要素を初期化している
複雑なハードコードは、誰も近づかなくなり、保守がめんどうなのでセキュリティホールになりえるそうです。
CWE（Common Weakness Enumeration）は、ソフトウェアにおける一般的なセキュリティ上の脆弱性を識別、分類し、それに関する詳細情報を提供するためのリストや辞書です。CWEは、脆弱性を組織化し、共通の構造や属性によって分類することにより、ソフトウェア開発、テスト、保守の各フェーズでのセキュリティ問題の認識と理解を促進します。
CWEはMITRE Corporationによって開発・維持されており、コミュニティの貢献によっても支えられています。それぞれのCWEエントリーは、特定の脆弱性や弱点を表し、その詳細、可能な影響、対策、実際の例などを提供します。
CWEは、多くのセキュリティ関連のツールやサービス、ガイドラインの中で引用や参照されます。また、CVE（Common Vulnerabilities and Exposures）という一般的な脆弱性と露出の辞書とも密接に連携しています。
いいなと思ったら応援しよう！
