Тестването на софтуера за грешки е първа стъпка за защита срещу хакери

Качественият софтуер е важен за добрата работа на системите. И специалистите разбират това. През седмицата Софийският университет събра специалисти от няколко държави и студенти, за да обменят опит. И това се случи в контекста на изтеклите данни от НАП. 

Георги учи в София, а Ифан учи в САЩ. Но и от двете страни на океана и двамата са категорични, че тестването на софтуера за грешки, е първата стъпка за защита срещу хакери. Отборите на Георги и Ифан премериха сили в състезанието за откриване на грешки в софтуер, което се проведе по време на международната конференция за сигурността на софтуера в Софийския университет. Отборът на Ифан спечели. Той е първа година в Илинойския институт по технологии и казва, че предизвикателството да откриваш грешки помага за обучението му. 

"Много хора пишат код. А проверката ни помага да видим къде е проблемът. За това беше и състезанието. Писането на код е като да пишете статия. Тя е за хората. Така и при кодът за приложението, с което работите. Но ако не го проверите, то може да бъде неизползваемо, а и става уязвимо за хакери".

Георги, който учи в СУ и поддържа системите му, казва същото. Този път отборът му не успя да завоюва място в състезанието. Георги продължава да се бори със съмненията в професията му. Особено след като се оказа, че хакер е източил данните на над пет милиона българи от НАП.

Барбара Гутман работи в основания преди 118 години американски Институт по стандартите и технологиите. Тя отговаря за проекти, свързани с компютърната криминалистика и проверка на качеството на софтуера. За БНР тя сподели: 

"Разработваме правилата за това как да се тестват софтуери. Ние няма как да тестваме самите системи, защото те са твърде много. Но целта на нашата работа е да се уверим, че тези които тестват софтуера, си вършат много добре работата. Ще ви дам интересен пример - в криминалистика ние разполагаме с библиотека от софтуер. Публикуваме информацията за този софтуер и той може да бъде ползван от хората, които се занимават с киберпрестъпленията, дори и от приходните ни органи в САЩ, които са в борда на управление на този проект. Но присъствието на подобни библиотеки със тестов софтуер е важно. И има смисъл да бъдат създадени веднъж, защото са изключително скъпи за създаване". 

Барбара Гутман е проявила интерес и към проблема с изтичането на данни от НАП. От думите ѝ се разбра, че при идеалната ситуация още на ниво разработка на системите, тяхното тестване чрез разработени инструменти, е можело да предотврати българската ситуация. 

"Последното което успях да прочета е, че това е SQL-инжекция. Знаете - техника за инжектиране на код, която може да унищожи вашата база данни. Тоест хората биха си помислили, че това са данни, но всъщност са маскирани като зловреден код. Това е много честа софтуерна грешка. Но в нашия набор от софтуер, който трябва да бъде проверяван, имаме много примери с такива за SQL-инжекции. И ако някой иска да тества софтуер или инструмент в подобна среда, трябва да са сигурни, че техният тестов инструмент би открил подобна грешка. Аз не знам каква е конкретната ситуация с вашата кражба, но ако примерно е открадната чрез уебсайт, хората, които са писали кода за този уеб сайт е трябвало да тестват кода, за да се засече евентуалната слабост. Ако искате да разберете дали софтуерът, който сте написали, е добър, трябва да го тествате срещу друг софтуер. Трябва да сте сигурни, че и това, което сте написали, би открило тези проблеми.  Затова и нашата агенция, моята лаборатория, създават тези тестови софтуери, за да цялата общност, създаваща софтуер, да е сигурна, че техните продукти са по-добри. А това би било полезно и за техните клиенти, като в случая - вашата приходна агенция. Предполагам, че във вашия случай правителството прави анализи, за да разберат къде са проблемите. Ако е била SQL инжекция, каква е била точно? Може да е в резултат на много комбинации от бъгове в системата или някой просто е станал жертва на фишинг. (опит за придобиване на чувствителна информация чрез създаването на копие на съществуваща уеб страница. След това с мейли се пренасочва комуникацията към фалшивия уебсайт). Или примерно, ако някой е станал жертва на фишинг, защо многото нива на защита не са сработили. Може би става въпрос и за вътрешен човек?! Надяваме се, че след като направят тези свои проучвания, ще бъдат направени и необходимите поуки. Винаги се надяваме както правителства, така и компаниите да са сигурни в софтуера. По принцип, когато се получат проблеми, е добре да се говори, защото по този начин можем да предотвратим други хора да станат жертва на подобна ситуация. Знаете, че обикновено последиците са по-големи".