Errori di programmazione più gravi e comuni in software e siti web. Classifica.

Il SANS Institute ha prodotto un documento che riassume i 25 errori più comuni, e anche più gravi per le loro conseguenze, commessi dai programmatori.


Alcuni fra i più importanti protagonisti dell’Information Technology mondiale si sono riuniti a Washington per discutere sui problemi legati alla sicurezza dei programmi e degli applicativi che vengono utilizzati ogni giorno dall’utenza consumer e da quella business. Fra i partecipanti all’iniziativa, promossa dal SANS Institute (SysAdmin, Audit, Networking and Security), figurano nomi del calibro di Microsoft, Oracle, Symantec, Apple, Secunia e Red Hat.

Gli esperti hanno prodotto un documento che riassume i 25 errori più comuni, e anche più gravi per le loro conseguenze, commessi dai programmatori. L’esigenza di battere la concorrenza sul tempo e la grande quantità di codice che ogni anno viene scritta dagli addetti ai lavori possono senza dubbio comportare errori di scrittura, responsabili, secondo il SANS Institute, dell’85% delle vulnerabilità e delle falle che si riscontrano in Internet.

Le aziende e i professionisti che hanno preso parte all’incontro hanno anche stilato una serie di suggerimenti e fornito alcune soluzioni che mirano a prevenire gli errori, a correggerli o, quantomeno, a limitarli. Alcuni player dell’industria IT sembrano anche intenzionati a creare una sorta di certificazione che accompagni la distribuzione dei programmi e degli applicativi, in cui i proprietari dei software assicurino l’assenza dei 25 errori individuati a Washington o segnalino, per le versioni Beta, una descrizione di quelli presenti.

La «Top 25 Errors» è stata suddivisa in tre categorie: 9 errori riguardano l’interazione non sicura tra i componenti (es. improper input validation, improper encoding or escaping of output), altri 9 errori la gestione delle risorse (es. untrusted search path, improper initialization) e gli ultimi 7 la permeabilità delle difese (es. improper access control, use of insufficiently random values). Fra la top 25, segnaliamo l’esecuzione di operazioni e di programmi con privilegi non necessari, l’utilizzo di algoritmi di crittografia che contengono falle e la scarsa attenzione alla verifica dei dati in input.