Secure programming/fr: what changed
Revision 1 to 2. Removed lines have a minus sign; added lines have a plus sign.
| Old | New | Line | |
|---|---|---|---|
| 1 | 1 | # Avant-propos | |
| 2 | 2 | ||
| 3 | 3 | Cette page de wiki tente d'enseigner une approche différente dans la façon créer un logiciel. La page utilise des exemples très simples pour montrer que beaucoup de problèmes peuvent être profitables pour prendre l'avantage dans le but de créer une attaque de sécurité sur un ordinateur, un programme ou un système en entier. | |
| 4 | 4 | ||
| 5 | 5 | Veuillez noter que le document est seulement un début sur la technologie sur comment écrire un meilleur et un code un peu plus sécurisé code, mais il n'essaye pas d'être un guide complet sur la façon de le faire. En fait c'est seulement un résumé de la façon dont nous devons voir notre code et programme , et comment éviter beaucoup de problèmes communs. | |
| 6 | 6 | ||
| 7 | 7 | Veuillez vous rappeler que ce document vise un meilleur codage et n'est pas là pour montrer comment hacker(bidouiller) ou craquer (casser la protection) de programmes. | |
| 8 | 8 | ||
| 9 | 9 | # Ne faites pas confiance aux entrées | |
| 10 | 10 | ||
| 11 | 11 | En développant un programme, il est probable qu'il interagira avec un utilisateur de différentes façons, même s'il se limite à lire des fichiers dans le système et présenter les données. | |
| 12 | 12 | ||
| 13 | 13 | Généralement à l'école et à l'université, quand quelqu'un commence à écrire des programmes, cette personne apprend comment recevoir des données, les professeurs disent généralement à cette personne "supposez que les données que vous recevez sont valide". | |
| 14 | 14 | ||
| 15 | 15 | Mais **Nous ne pouvons pas faire confiance à toute entrée que nous ne pouvons pas contrôler car son contenu est inconnu et pourrait exploiter une vulnérabilité dans notre logiciel.** | |
| 16 | 16 | ||
| 17 | 17 | Lire depuis un fichier est lire depuis une source non sûre, de même que les entrées d'un utilisateur ou les données provenant d'un réseau par exemple. | |
| 18 | 18 | ||
| 19 | 19 | ## Pourquoi ne dois-je pas croire aux entrées ? | |
| 20 | 20 | ||
| 21 | 21 | Pour comprendre pourquoi une entrée est dangereuse, nous devons d'abord comprendre ce qu'est une entrée. | |
| 22 | 22 | ||
| 23 | 23 | Une entrée peut être lue depuis un clavier, le mouvement de la souris ou des clics de souris, ou depuis la lecture ou l'acceptation d'information de différente façons telles que les flux de données ou même les fonctions système. En fait, tout ce qu'obtient votre programme de l'extérieur est une entrée. | |
| 24 | 24 | ||
| 25 | 25 | Peu importe le type d'entrée : par exemple, un utilisateur ou un autre système peut nous donner une mauvaise entrée, et les raisons peuvent être intentionnelles ou une erreur. Vous ne pouvez pas contrôler cette entrée, et la raison principale est que vous ne pouvez pas deviner ce que l'entrée sera. | |
| 26 | 26 | ||
| 27 | 27 | Les résultats peuvent être des "données" vides (NULL) que l'utilisateur nous fournit, un nombre qui est hors de l'étendue attendue, ou une plus grande quantité de caractères que nous attendions, ou même une tentative de changer l'adresse de la variable qui accepte L'entrée de l'utilisateur. Nous ne pouvons tout simplement pas savoir ce que l'utilisateur va fournir. | |
| 28 | 28 | ||
| 29 | 29 | Tout manipulation "non-sûre" de l'entrée peut aboutir à | |
| 30 | 30 | ||
| 31 | 31 | - la récupération d'information critique que l'utilisateur n'est pas autorisé à voir, | |
| 32 | 32 | - la modification non permise de donnée, | |
| 33 | 33 | - la corruption de donnée, | |
| 34 | 34 | - l'interruption (crash, plantage) du programme lui-même. | |
| 35 | 35 | ||
| 36 | 36 | ## A quel type de problèmes pouvons-nous nous attendre ? | |
| 37 | 37 | ||
| 38 | 38 | Pour chaque type de bug, vous pouvez sans doute trouver un type d'attaque, mais je vais vous donner une petite liste de types d'attaque communs, au lieu d'écrire beaucoup de types d'attaque. | |
| 39 | 39 | ||
| 40 | 40 | Le types d'attaque les plus communs sont : | |
| 41 | 41 | ||
| 42 | 42 | ### Débordement de tampon | |
| 43 | 43 | ||
| 44 | 44 | C'est quand une donnée dépasse la quantité de mémoire qui lui est allouée : | |
| 45 | 45 | ||
| 46 | 46 | ``` pascal | |
| 47 | 47 | var | |
| 48 | 48 | iNums : array [0..9] of integer; | |
| 49 | 49 | ... | |
| 50 | 50 | FillChar (iNums[-1], 100, #0); | |
| 51 | 51 | ... | |
| 52 | 52 | for i := -10 to 10 do | |
| 53 | 53 | readln (iNums[i]); | |
| 54 | 54 | ... | |
| 55 | 55 | ``` | |
| 56 | 56 | ||
| 57 | 57 | Dans cet exemple, nous pouvons voir que le tableau statique iNums n'accepte que 10 nombres, alors que nous entrons dans cette variable 21 nombres. | |
| 58 | 58 | ||
| 59 | 59 | Veuillez noter que le compilateur sait signaler de tels cas, qui ne sont que des formes peu élaborées. | |
| 60 | 60 | ||
| 61 | 61 | Si l'utilisateur peut entrer de la donnée qui est envoyée dans un tampon, il peut entrer certaines valeurs pouvant être interprétées par les instructions en code machine, qui seront écrites en dehors de notre tampon. L'ordinateur pourra alors exécuter ce code au lieu du code qui aurait dû être là. | |
| 62 | 62 | ||
| 63 | 63 | C'est le débordement de tampon. | |
| 64 | 64 | ||
| 65 | 65 | ### Attaque par déni de service (*DoS*) | |
| 66 | 66 | ||
| 67 | 67 | Le déni de service n'est pas seulement un problème de réseau, il peut exister dans d'autres formes : | |
| 68 | 68 | ||
| 69 | 69 | ``` pascal | |
| 70 | 70 | procedure Recurse; | |
| 71 | 71 | begin | |
| 72 | 72 | while (True) do | |
| 73 | 73 | begin | |
| 74 | 74 | Recurse; | |
| 75 | 75 | end; | |
| 76 | 76 | end; | |
| 77 | 77 | ``` | |
| 78 | 78 | ||
| 79 | 79 | Cette procédure s'exécutera jusqu'à ce que le système soit à court de ressources car il alloue plus de mémoire de pile à chaque récursion, cela provoquera l'arrêt de réponse du système, ou même le crash. Bien que certains systèmes, comme GNU/Linux, tentera de vous donner la possibilité d'arrêter le programme, cela prendra un certain temps pour se faire. | |
| 80 | 80 | ||
| 81 | 81 | Veuillez remarquer que cela n'est qu'un exemple statique, mais nous pouvons faire une attaque DoS sur un système en exécutant ce code. | |
| 82 | 82 | ||
| 83 | 83 | Une autre attaque DoS connue est le manque de libération de ressources système telle que la mémoire, les sockets, les descripteurs de fichiers, ... | |
| 84 | 84 | ||
| 85 | 85 | Par exemple : | |
| 86 | 86 | ||
| 87 | 87 | ``` pascal | |
| 88 | 88 | ... | |
| 89 | 89 | begin | |
| 90 | 90 | while True do | |
| 91 | 91 | begin | |
| 92 | 92 | Getmem(OurPtr, 10); | |
| 93 | 93 | OurPtr := Something; | |
| 94 | 94 | end; | |
| 95 | 95 | end. | |
| 96 | 96 | ``` | |
| 97 | 97 | ||
| 98 | 98 | Cet exemple montre une allocation de mémoire (Getmem est comme malloc en langage C ; il réserve de la mémoire pour utilsiation), mais nous sortons de l'exécution sans avoir libérer la mémoire après emploi. | |
| 99 | 99 | ||
| 100 | 100 | ### Injections | |
| 101 | 101 | ||
| 102 | 102 | Quand l'utilisateur nous donne une entrée avec laquelle nous travaillons sans l'avoir assainie, l'utilisateur peut mettre dedans des marque SQL ou du code (comme du script, ou du code machine) par exemple, qui amènera notre programme à réaliser quelque action indésirable (p.ex. supprimer des enregistrements/tables, retourner des données protégées telles que des structures de bases de données/tables, utilisateur et mot de passe, contenu de dossier ou de fichier ou même exécuter un programme sur l'ordinateur). | |
| 103 | 103 | ||
| 104 | 104 | Un exemple d'injection SQL : | |
| 105 | 105 | ||
| 106 | 106 | Entrée d'utilisateur : | |
| 107 | 107 | ||
| 108 | - | ||
| 108 | + | ```text | |
| 109 | + | SVP, entrez votre nom : a' OR 1=1 | |
| 110 | + | ``` | |
| 109 | 111 | ||
| 110 | 112 | Dans le code : | |
| 111 | 113 | ||
| 112 | 114 | ``` pascal | |
| 113 | 115 | ... | |
| 114 | 116 | Write('SVP, entrez votre nom : '); | |
| 115 | 117 | ReadLn(sName); | |
| 116 | 118 | Query1.SQL.Add('SELECT Password FROM tblUsers WHERE Name='#32 + sName + #32); | |
| 117 | 119 | ... | |
| 118 | 120 | ``` | |
| 119 | 121 | ||
| 120 | 122 | En soumettant cette instruction SQL avec l'entrée de l'utilisateur, il résultera de l'ajout de OR 1=1 dans la requête passée à la base de donnée : dans ce cas, la condition sera toujours vraie et l'utilisateur aura obtenu un éccès au programme et pourra connaître la liste des mots de passe (NdT : on fait l'hypothèse que ces derniers sont enregistrés en clair, mauvaise idée). | |
| 121 | 123 | ||
| 122 | 124 | # Accès à vos données et modifications | |
| 123 | 125 | ||
| 124 | 126 | Ce n'est pas uniquement votre programme qui aura accès aux données qu'il utilise. Si vous stockez de la donnée dans des fichiers ou des bases de données (distantes), un attaquant peut obtenir l'accès à travers le système d'exploitation (et/ou la base de données et/ou la couche réseau/protocole de base de données). | |
| 125 | 127 | ||
| 126 | 128 | ## Chiffrement : est-ce suffisant ? | |
| 127 | 129 | ||
| 128 | 130 | Pour contrer la menace décrite ci-dessus, les programmeurs utilise souvent le chiffrement, il peut être utilisé pour fournir : | |
| 129 | 131 | ||
| 130 | 132 | - la protection de la confidentialité des données | |
| 131 | 133 | - la non-répudiation (est-ce que la donnée a été créée par la personne qui le prétend) et l'intégrité (la donnée est-elle inchangée), en utilisant des mécanismes supplémentaires de signature numérique/hachage). | |
| 132 | 134 | ||
| 133 | 135 | ensemble pour | |
| 134 | 136 | ||
| 135 | 137 | - la communication des données | |
| 136 | 138 | - stockage/récupération des données | |
| 137 | 139 | ||
| 138 | 140 | Si vous utilisez ces méthodes, vos données ne sont toutefois pas automatiquement sûres. | |
| 139 | 141 | ||
| 140 | 142 | Il y a de multiples attaques possibles sur les données chiffrées : | |
| 141 | 143 | ||
| 142 | 144 | - attaque sur des algorithmes mal sécurisés ou leur implémentation (p.ex. en utilisant une attaque avec du texte brut connu) | |
| 143 | 145 | - attaque sur les clés de chiffrement (p.ex. en faisant une rétro-analyse de votre programme, si vous stocker des clés dans un fichier ou en dur dans le programme, ou en corrigeant le programme pour intercepter les clés/mots de passe entrés par l'utilisateur). | |
| 144 | 146 | ||
| 145 | 147 | Si vous ne savez pas exactement ce que vous allez faire (et vous ne saurez pas, à moins d'avoir une formation en cryptographie), svp utilisez (par ordre décroissant de préférence) : | |
| 146 | 148 | ||
| 147 | 149 | - des bibliothèques réputées qui sont maintenues/corrigées (p.ex. les bibliothèque internes de FPC, et des bibliothèques telles que DCPCrypt ou des bibliothèques externes comme OpenSSL ou cryptlib) qui utilise des protocoles réputés et largement utilisés qui utilisent des algorithmes réputés et largement utilisés. | |
| 148 | 150 | - Utilisez p.ex. Trusted Authentication/SSPI pour la connectivité SQL Server/Firebird pour éviter l'envoi de mots de passe a travers le câble (dans Firebird \>= 2.0 : en texte clair !) et s'appuie sur la sécurité du système d'exploitation pour l'authentification. | |
| 149 | 151 | - Utilisez Cryptlib ou OpenSSL avedc Synapse pour implémenter SSL/TSL au lieu d'une solution personnelle. | |
| 150 | 152 | - des protocoles et APIs réputés et largement utilisés au lieu de solutions personnelles. Ces protocoles doivent utiliser des algorithmes de cryptographie/hachage bien compris et largement employés. Exemples : | |
| 151 | 153 | - GPG/PGP | |
| 152 | 154 | - TLS (SSL) avec PKI/CAs (de préférence ne faites pas confiance au CAs dont vous avez besoin, et réalisez des certificats d'authenthification client si votre analyse de la menace l'exige). | |
| 153 | 155 | - SSH (e.g. avec clé d'authentification publique/privée, si nécessaire avec renforcement par des périphrases pour les clés) | |
| 154 | 156 | - Dans Windows, utilisez l'API pour obtenir l'utilisateur actuellement authentifié. Si vous mettez en application la sécurité adaptée du système (longueur de mot de passe, modification, accès physiques etc), vous n'aurez pas besoin de gérer votre propore mécanisme de nom de connexion/mot de passe au niveau de l'application. | |
| 155 | 157 | - des algorithmes bien connus de crypto/hachage (tels que AES/Rijndael, 3DES et SHA512). Soyez conservateur dans les algorithmes que vous acceptez (p.ex. MD5 n'est pas sûr dans la signature de message). | |
| 156 | 158 | ||
| 157 | 159 | Le chiffrement est une partie de l'ensemble possible des mesures de sécurité ; l'effort/l'argent dépensé doit être évalué comme faisant partie de l'analyse de la sécurité (voir plus bas). | |
| 158 | 160 | ||
| 159 | 161 | # Mythes et suppositions | |
| 160 | 162 | ||
| 161 | 163 | De nombreux problèmes de sécurité existent à cause de l'ignorance d'importants avertissements et d'information donnés par le compilateur et par la conviction que votre programme ne contient pas de problème exploitable. | |
| 162 | 164 | ||
| 163 | 165 | Voici quelques exemples pour ce type de problème : | |
| 164 | 166 | ||
| 165 | 167 | **Mythes**: | |
| 166 | 168 | ||
| 167 | 169 | - La sécurité par l'obscurité - Quand personne ne connaît un problème, personne ne peut en profiter ; p.ex. utiliser un nom de colonne obscur pour stocker des mots de passe dans votre base de données. | |
| 168 | 170 | - Les langages de programmation sûrs : il y a des langages tels que Perl dont des gens pensent à tort qu'ils sont sûrs face aux débordements de tampon et autres vulnérabilité. | |
| 169 | 171 | - Un mot de passe hachés est sûr - Un fichier qui a un mot de passe haché n'est pas sûr. (non traduit car incompris : ) Hash can only passed one and you can not retrieve the original data. *I don't get this. Does the author mean that a hashed password can be retrieved by a brute force or rainbow table attack and that it therefore needs a salt, or multiple hash rounds? --BigChimp 16:19, 24 July 2011 (CEST)*. | |
| 170 | 172 | - Personne ne peut casser mon programme - Penser que vous êtes le seul programmeur dans le monde qui écrive du code non fautif est sans doute un peu optimiste. Peut-être êtes-vous chanceux et vous avez juste écrit du code qui ne marche bien sans vulnérabilité de sécurité exploitable ... | |
| 171 | 173 | ||
| 172 | 174 | **Suppositions**: | |
| 173 | 175 | ||
| 174 | 176 | - L'équipe qualité va trouver et corriger mes bugs de sécurité. | |
| 175 | 177 | - L'utilisateur (ou quelqu'un d'autre) n'attaquera pas mon programme ni ses données. | |
| 176 | 178 | - Mon programme ne sera utilisé que pour son utilisation prévue. | |
| 177 | 179 | - Toutes les exceptions peuvent rester en l'état (*unhandled*) | |
| 178 | 180 | ||
| 179 | 181 | # Analyse pour comprendre les menaces et la sécurité | |
| 180 | 182 | ||
| 181 | 183 | En général, un programmeur (ou son employeur) devrait réaliser une analyse de toutes les menaces (depuis les accès physiques/attaques jusqu'aux attaques logiques et d'ingénierie sociales) qui devrait être faite sur le système entier (y compris l'infrastructure - système d'exploitation, base de données aussi bien que sur les machines physiques/câblage/batiments/connexions externes) pour analyser si vous n'avez pas laisser ouvert une brêche de sécurité qui est inacceptable (dans une perspective risque/bénéfice). | |
| 182 | 184 | ||
| 183 | 185 | L'extension de cette analyse devrait dépendre de la valeur des données/processus que le système protège. Il est évident que cela est superflu d'analyser à fond la sécurité de votre maison quand vous développez un programme de loisir pout garder la trace de vos scores de bridge. | |
| 184 | 186 | ||
| 185 | 187 | Bénéfices de cette sorte d'analyses : | |
| 186 | 188 | ||
| 187 | 189 | - les risques restants après ces mesures de sécurité deviennent connus et explicites. Souvent, il y a des discussion sur les chances de survenue du risque, ou sur l'impact qui lui associé, mais la fait qu'il subsiste un vecteur d'attaque est au moins clair et les décisions peuvent être rendues basées sur cette information. | |
| 188 | 190 | - vous pouvez loyalement facilement voir que les mesures sont sur-conçues (*overengineered*) ("too secure", gaspillage d'argent) ou sous-conçues ("pas assez sûres"). Si vous ne pouvez pas utiliser cette information maintenant, vous pouvez au moins apprendre d'elle pour d'autres projets, y compris de future maintenance/modification de votre programme. | |
| 189 | 191 | ||
| 190 | 192 | # Solutions spécifiques | |
| 191 | 193 | ||
| 192 | 194 | Maintenant nous connaissons certains problèmes que nous allons rencontrés en développant des programmes, nous devrions apprendre à corriger ces problèmes. Tous les problèmes que nous avons vu au-dessus se manifestent en deux types : suppositions et manque de programmation sûre. Et pour apprendre à les corriger, nous devons d'abord apprendre à penser d'une manière différente que nous avions jusqu'à maintenant. | |
| 193 | 195 | ||
| 194 | 196 | ## Débordement | |
| 195 | 197 | ||
| 196 | 198 | Pour corriger le débordement de donnée, comme les tampons ou autre type d'entrée, nous avons besoin avant tout d'identifier le type de donnée dont nous avons besoin : | |
| 197 | 199 | ||
| 198 | 200 | ### Débordement de tampon | |
| 199 | 201 | ||
| 200 | 202 | Si nous revenons à notre exemple de : | |
| 201 | 203 | ||
| 202 | 204 | ``` pascal | |
| 203 | 205 | var | |
| 204 | 206 | iNums: array [0..9] of Integer; | |
| 205 | 207 | ... | |
| 206 | 208 | FillChar(iNums[-1], 100, #0); | |
| 207 | 209 | ... | |
| 208 | 210 | for i := -10 to 10 do | |
| 209 | 211 | ReadLn(iNums[i]); | |
| 210 | 212 | ... | |
| 211 | 213 | ``` | |
| 212 | 214 | ||
| 213 | 215 | Nous voyons là une étendue qui a été dépassée par nos valeurs, sans même vérifier si l'index est correct. | |
| 214 | 216 | ||
| 215 | 217 | Dans les tableaux dynamiques/ouverts de Pascal, nous pouvons connaître les limites de la mémoire allouée. Ainsi, il suffit juste de contrôler si la taille est trop petite ou trop grande pour notre tampon, et de limiter ce qu'elle doit accepter. | |
| 216 | 218 | ||
| 217 | 219 | Ainsi l'exemple devrait être changé en : | |
| 218 | 220 | ||
| 219 | 221 | ``` pascal | |
| 220 | 222 | var | |
| 221 | 223 | iNums: array [0..9] of Integer; | |
| 222 | 224 | ||
| 223 | 225 | ... | |
| 224 | 226 | FillChar (iNums[Low(iNums)], High(iNums), #0); | |
| 225 | 227 | ... | |
| 226 | 228 | ||
| 227 | 229 | for i := Low(iNums) to High(iNums) do | |
| 228 | 230 | ReadLn(iNums[i]); | |
| 229 | 231 | ... | |
| 230 | 232 | ``` | |
| 231 | 233 | ||
| 232 | 234 | Mais attendez, quelque n'est pas encore juste ! | |
| 233 | 235 | ||
| 234 | 236 | La routine ReadLn accepte une quantité illimitée de caractères et rien ne nous promet que cela sera un entier ou de l'étendue que nous pouvons gérer. | |
| 235 | 237 | ||
| 236 | 238 | ### Débordement numérique | |
| 237 | 239 | ||
| 238 | 240 | Alors qu'une chaîne en Pascal est un pur tableau (humm humm..pas vraiment, du moins pas en FreePascal, mais nous l'admettrons quelques temps, Ok ?) ainsi *readln* tentera de trouver et voir ce que sont ces limites et ne tentera pas de dépasser l'étendue que nous avons donné à ce type, mais les nombres ne sont pas pareils. | |
| 239 | 241 | ||
| 240 | 242 | Les nombres ont des limites, un ordinateur/compilateur a des limites de toutes sortes concernant la mémoire et les nombres. Il peut attribuer une "petite" quantité de mémoire pour les nombres (virgule flottante et entiers). Et souvent, nous n'avons pas besoin d'une grande étendue de nombre à utiliser (tels que les booléens qui ne demandent que deux valeurs). | |
| 241 | 243 | ||
| 242 | 244 | Dans l'exemples du dessus, nous pouvons avoir un dépassement de tampon qui provoquera une erreur de contrôle d'étendue qui nous donnera un mauvais nombre (problèmes de rappel(*reminder*) de drapeau de retenue... que je n'expliquerai pas ici), et nous avons un effet DoS, car notre programme s'arrêtera à ce point. | |
| 243 | 245 | ||
| 244 | 246 | Donc que pouvons-nous faire pour régler cela ? | |
| 245 | 247 | ||
| 246 | 248 | En premier lieu, nous pouvons désirer travailler avec une variable chaîne qui sera de la taille du nombre le plus grand +1 (pour le signe moins), ou nous pouvons créer notre propre procédure/fonction ReadLn qui se spécialisera avec le type entier. | |
| 247 | 249 | ||
| 248 | 250 | Pour la première option, nous pouvons faire ce qui suit (copié depuis la documentation FPC) : | |
| 249 | 251 | ||
| 250 | 252 | ``` pascal | |
| 251 | 253 | Program Example74; | |
| 252 | 254 | ||
| 253 | 255 | { Program to demonstrate the Val function. } | |
| 254 | 256 | Var | |
| 255 | 257 | I, Code: Integer; | |
| 256 | 258 | begin | |
| 257 | 259 | Val(ParamStr(1), I, Code); | |
| 258 | 260 | If Code <> 0 then | |
| 259 | 261 | Writeln('Error at position ', code, ' : ', Paramstr(1)[Code]) | |
| 260 | 262 | else | |
| 261 | 263 | Writeln('Value : ', I); | |
| 262 | 264 | end. | |
| 263 | 265 | ``` | |
| 264 | 266 | ||
| 265 | 267 | Nous voyons là comment convertir une chaîne en un entier avec une gestion très simple de l'erreur. La fonction *StrToInt* peut aussi faire l'affaire mais il faudra traiter l'exception résultante d'une erreur. | |
| 266 | 268 | ||
| 267 | 269 | Voici un petit exemple pour un petit *readln* comme procédure pour des nombres entiers. | |
| 268 | 270 | ||
| 269 | 271 | ``` pascal | |
| 270 | 272 | program MyReadln; | |
| 271 | 273 | uses | |
| 272 | 274 | CRT; | |
| 273 | 275 | ||
| 274 | 276 | procedure MyIntReadLn(var Param: Integer; ParamLength: Integer); | |
| 275 | 277 | var | |
| 276 | 278 | Line: string; | |
| 277 | 279 | ch: char; | |
| 278 | 280 | Error: Integer; | |
| 279 | 281 | ||
| 280 | 282 | begin | |
| 281 | 283 | Line := ''; | |
| 282 | 284 | ||
| 283 | 285 | repeat | |
| 284 | 286 | ch := ReadKey; | |
| 285 | 287 | if (Length (Line) <> ParamLength) then | |
| 286 | 288 | begin | |
| 287 | 289 | if (ch in ['0'..'9']) then | |
| 288 | 290 | begin | |
| 289 | 291 | Line := Line + ch; | |
| 290 | 292 | write (ch); | |
| 291 | 293 | end | |
| 292 | 294 | else | |
| 293 | 295 | if (ch = '-') and (Length(Line) = 0) then | |
| 294 | 296 | begin | |
| 295 | 297 | Line := '-'; | |
| 296 | 298 | write (ch); | |
| 297 | 299 | end; | |
| 298 | 300 | end; | |
| 299 | 301 | ||
| 300 | 302 | if (ch = #8) and (Length(Line) <> 0) then // backspace | |
| 301 | 303 | begin | |
| 302 | 304 | Line := Copy(Line, 1, Length(Line) - 1); | |
| 303 | 305 | gotoxy(WhereX - 1, WhereY); | |
| 304 | 306 | write(' '); | |
| 305 | 307 | gotoxy(WhereX - 1, WhereY); | |
| 306 | 308 | end; | |
| 307 | 309 | until (ch = #13); | |
| 308 | 310 | ||
| 309 | 311 | val(Line, Param, Error); | |
| 310 | 312 | ||
| 311 | 313 | if (Error <> 0) then | |
| 312 | 314 | Param := 0; | |
| 313 | 315 | ||
| 314 | 316 | writeln; | |
| 315 | 317 | end; | |
| 316 | 318 | ||
| 317 | 319 | var | |
| 318 | 320 | Num : Integer; | |
| 319 | 321 | ||
| 320 | 322 | begin | |
| 321 | 323 | Write('Number: '); | |
| 322 | 324 | MyIntReadLn(Num, 2); | |
| 323 | 325 | WriteLn('The number is: ', Num); | |
| 324 | 326 | end. | |
| 325 | 327 | ``` | |
| 326 | 328 | ||
| 327 | 329 | Veuillez noter que vous pouvez la faire mieux, et plus efficace si vous le voulez. C'est seulement un petit exemple pour montrer comment le faire. | |
| 328 | 330 | ||
| 329 | 331 | ### Quels sont les risques de sécurité dans les débordement ? | |
| 330 | 332 | ||
| 331 | 333 | Un dépassement de mémoire peut permettre l'exécution d'un code CPU arbitraire et que les utilisateurs peuvent exécuter quelque soit le type de code qu'il désire et rien ne peut les arrêter. | |
| 332 | 334 | ||
| 333 | 335 | ## Dénis de service | |
| 334 | 336 | ||
| 335 | 337 | Le deni de service (DoS) est l'un des types d'attaque les plus difficile à empêcher, les raisons sont : | |
| 336 | 338 | ||
| 337 | 339 | - Le déni de service peut même être exécuté sans bug exploitable, comme en utilisant le programme "ping" sur un paquets de machines pour bloquer une machine connectée à Internet. | |
| 338 | 340 | - Toute ressource système peut être la cible d'un possible DoS, comme l'ouverture d'une socket, la lecture de fichiers ou l'allocation de mémoire. | |
| 339 | 341 | - La suppression de fichiers comme un module du noyau peut causer un gros problème. (*I don't get this line --BigChimp 19:32, 24 July 2011 (CEST)*) | |
| 340 | 342 | - Un manque de configuration ou une mauvaise configuration peut provoquer un déni de service s'il permet de mal employer des resources vulnérables. | |
| 341 | 343 | - Trop de permissions ou un manque d'elles (*I don't get that not enough permissions can be a problem. Neither too many, either? Is a security risk, obviously but not a DoS problem. --BigChimp 19:32, 24 July 2011 (CEST)* | |
| 342 | 344 | - Presque tout type d'exploit peut aboutir à un déni de service. | |
| 343 | 345 | ||
| 344 | 346 | Donc comme vous pouvez le voir, un déni de service peut presque être n'importe quoi qui arrête le système dans ce qu'il devrait faire à cause de l'exploitation ou d'un code bugué ou juste un programme qui capture des ressources système. | |
| 345 | 347 | ||
| 346 | 348 | Dans l'exemple de déni de service du dessous : | |
| 347 | 349 | ||
| 348 | 350 | ``` pascal | |
| 349 | 351 | procedure Recurse; | |
| 350 | 352 | begin | |
| 351 | 353 | while (True) do | |
| 352 | 354 | begin | |
| 353 | 355 | Recurse; | |
| 354 | 356 | end; | |
| 355 | 357 | end; | |
| 356 | 358 | ``` | |
| 357 | 359 | ||
| 358 | 360 | J'ai créé un débordement de pile (un autre type de débordement de tampon), qui amène l'ordinateur à avoir besoin de plus de mémoire pour continuer à exécuter le code. | |
| 359 | 361 | ||
| 360 | 362 | Toute ressource système disponible pour le programme peut être détournée en ne la rendant pas au système lorsque le programme «n'en a plus besoin». La conservation de ressources système comme la mémoire, ou des sockets enlève à d'autres programmes la possibilité d'effectuer certaines de leurs actions. De cette façon, la plupart des programmes arrêteront leur exécution et signaleront une erreur, et certains se bloqueront et continueront à chercher les ressources système. | |
| 361 | 363 | ||
| 362 | 364 | Notez que l'utilisation abusive des ressources système existe à cause d'un bogue dans la programmation, comme l'attente d'un tampon de 150 Ko, alors que le tampon réel n'est que de 2 octets et que le programme cherche toujours le tampon de 150 Ko, une nouvelle demande d'un tampon de 150k est fait, etc. jusqu'à ce que le système ne soit plus en mesure de répondre à aucune des requêtes (c'est un type connu d'attaque). | |
| 363 | 365 | ||
| 364 | 366 | Une bonne solution de contournement pour ce bogue est de limiter le nombre de buffers non complets peuvent être alloués en même temps. Si le tampon n'est pas plein après un délai, il devrait être libre. Toutefois, cette solution entraînera également un déni de service, car la communication s'arrêtera de toute façon à un certain moment, ou une connexion lente peut entraîner la perte de données. | |
| 365 | 367 | ||
| 366 | 368 | ## Injection | |
| 367 | 369 | ||
| 368 | 370 | Il y a de nombreuses façons d'injecter certain type de code dans vos programmes. Comme nous pouvons le voir dans l'exemple du dessus. | |
| 369 | 371 | ||
| 370 | 372 | Entrée de l'utilisateur : | |
| 371 | 373 | ||
| 372 | - | ||
| 374 | + | ```text | |
| 375 | + | SVP, veuillez entrer votre nom : a' OR 1=1 | |
| 376 | + | ``` | |
| 373 | 377 | ||
| 374 | 378 | Inside the code: | |
| 375 | 379 | ||
| 376 | 380 | ``` pascal | |
| 377 | 381 | ... | |
| 378 | 382 | write(' SVP, veuillez entrer votre nom : '); | |
| 379 | 383 | readln(sName); | |
| 380 | 384 | Query1.SQL.Add('SELECT Password FROM tblUsers WHERE Name='#32 + sName + #32); | |
| 381 | 385 | ... | |
| 382 | 386 | ``` | |
| 383 | 387 | ||
| 384 | 388 | L'injection se rencontre quand nous ne filtrons pas les données entrées dans notre code (assainir est un mot plus professionnel:)) : ceci signifie que nous recevons seulement ce qui a été exactement frappé de l'entrée que nous cherchons et rien d'autre. | |
| 385 | 389 | ||
| 386 | 390 | Par exemple, nous pourrions contrôler si *sName* contient des espaces. Si c'est ainsi, ne pas contrôler le reste de la variable. | |
| 387 | 391 | ||
| 388 | 392 | Ceci aide si le nom d'utilisateur peut être une seul mot contenant des lettres, peut-être une apostrophe et peut-être même un souligné et c'est tout. Si nous entrons un nombre, cela serait illégal. | |
| 389 | 393 | ||
| 390 | 394 | Il ya plusieurs manière d'assainir votre donnée. La moins efficace (mais souvent utilisée) est la suivante : | |
| 391 | 395 | ||
| 392 | 396 | ### Désinfection inefficace | |
| 393 | 397 | ||
| 394 | 398 | ``` pascal | |
| 395 | 399 | function ValidVar (const S: AnsiString; AllowChars: TCharset): Boolean; | |
| 396 | 400 | var | |
| 397 | 401 | i: Word; | |
| 398 | 402 | begin | |
| 399 | 403 | i := 0; | |
| 400 | 404 | Result := True; | |
| 401 | 405 | ||
| 402 | 406 | while (Result) and (i <= Length(S)) do | |
| 403 | 407 | begin | |
| 404 | 408 | Inc(i); | |
| 405 | 409 | Result := S[i] in AllowChars; | |
| 406 | 410 | end; | |
| 407 | 411 | end; | |
| 408 | 412 | ``` | |
| 409 | 413 | ||
| 410 | 414 | La fonction retourne true si nous avons un contenu correspondant à celui spécifié par *AllowChars* dans la variable *S*. Veuillez noter que cette fonction est seulement une preuve du concept et demande plus de travail pour être pleinement utilisable. | |
| 411 | 415 | ||
| 412 | 416 | Une autre solution pour faire la même chose consiste à utiliser une expression régulière comme suit (c'est une preuve de concept seulement pour Pearl. FPC n'a pas un support complet des expressions régulières qui permet de modifier les chaînes) (NdT : alors pourquoi en parler ?) : | |
| 413 | 417 | ||
| 414 | - | ||
| 418 | + | ```text | |
| 419 | + | $sName =~ s/[^a-z0-9_\']//gi; | |
| 420 | + | ``` | |
| 415 | 421 | ||
| 416 | 422 | L'expression régulière retire tous les caractères invalides de la chaîne et retourne la chaîne purgée. Veuillez noter qu'autant que je le sache, cette expression régulière tournera aussi dans le moteur ereg, mais avec des ajustements minimaux (le drapeau *g* demande à Pearl de remplacer tous les modèles correspondants trouvés. *i* est pour l'insensibilité à la casse). | |
| 417 | 423 | ||
| 418 | 424 | Maintenant nous connaissons que notre entrée est valide, nous devons voir quel est l'utilisation du contenu de la variable. Si la variable va aller dans une base de données, ou un script CGI ou autre chose qui a sa propre syntaxe, nous devons éliminer du contenu les caractères de contrôle ou non permis du langage (p.ex. SQL pour les bases de données). | |
| 419 | 425 | ||
| 420 | 426 | Il y a plusieurs façons d'échapper ce type de contenu. Supposons pour maintenant que ce contenu va aller dans une requête de base de données. Maintenant en premier lieu, nous devons nous assurer que notre échappement n'augmentera pas la taille au dessus de la longueur limite de notre champ de base de données. Parce s'il le font, alors nous passerons d'une injection à une perte de donnée/un déni de service/un débordement de tampon (une base de données respectée généralement tronque la donnée et parfois pas au bon endroit. | |
| 421 | 427 | ||
| 422 | 428 | Généralement, ce que nous faisons pour utiliser une chaîne dans une base de données est seulement d'échapper l'apostrophe (certaines bases de données peuvent avoir des problèmes avec plus de caractères). Ainsi nous devons représenter l'apostrophe d'une façon qu'elle n'ait pas d'effet dans le moteur de la base de données, en le précédant d'une barre de fraction inverse (\\') ou en doublant l'apostrophe (''), ou peut-être même en employant un autre caractère en remplacement dans la requête puis en le faisant le remplacement inverse lors de l'affichage à l'utilisateur. | |
| 423 | 429 | ||
| 424 | 430 | ### Restriction des entrées avec les paramètres de requêtes SQL | |
| 425 | 431 | ||
| 426 | 432 | Après nous être assuré du respect des limites, nous pouvons continuer dans nos tentatives. Pour échapper le code, nous pouvons utiliser plusieurs approches. Une approche sympa de moindre débogage, mais une façon sûre d'avoir un échappement correct est d'utiliser la technique des paramètres (NdT : ouf on y est !) | |
| 427 | 433 | ||
| 428 | 434 | ``` pascal | |
| 429 | 435 | Query1.SQL.Add('SELECT Password FROM tblUsers WHERE Name=?'); | |
| 430 | 436 | Query1.Parameters.Add(sName); | |
| 431 | 437 | if (Query1.Execute) then | |
| 432 | 438 | ... | |
| 433 | 439 | ``` | |
| 434 | 440 | ||
| 435 | 441 | Cette technique permet au moteur de base de données pour échapper le paramètre d'une manière que nous puissions utiliser le contenu sans problème de caractères illégaux. En outre, certaines bases de données ont augmenté les performances pour les appels répétés à ce code, car il peut préparer une déclaration interne avec des paramètres pour cela. Le mauvais côté est que nous ne pourrons jamais déboguer le resultat de la requête. Autrement dit, nous ne pouvons pas voir comment le contenu de *sName* intégré dans l'instruction SQL, et nous ne pouvons jamais voir si notre requête était correcte à cause de cela. | |
| 436 | 442 | ||
| 437 | 443 | De toutes façons, une fois que vous avez testé la requête sans paramètre, l'ajout des paramètres est assez facile, donc en pratique, le problème n'est pas aussi grand qu'il n'y paraît. | |
| 438 | 444 | ||
| 439 | 445 | ## Code efficace | |
| 440 | 446 | ||
| 441 | 447 | Les mesures de sécurité mentionnées au dessus compliquent le code si vous avez utilisé le code le plus efficace pour obtenir les fonctionnalités voulues. Heureusement, vous pouvez parfois contourner les complications du code avec un framework/une bibliothèque qui traite cela. Par exemple : dans l'exemple DoS SQL, vous pouvez laisser le moteur de base de données traiter les données d'échappement en utilisant des requêtes paramétrées avec un petit coût pour avoir utiliser des paramètres dans votre code. | |
| 442 | 448 | ||
| 443 | 449 | Toutefois, écrire des programmes efficaces en performance mais vulnérables en sécurité n'aidera personne mis à part des juristes en fiabilité et des experts en forensique. | |
| 444 | 450 | ||
| 445 | 451 | # Au-delà du document | |
| 446 | 452 | ||
| 447 | 453 | Alors que j'ai tenté dans ce document quelques exemples courts et l'information sur la façon de créer un meilleur code, il y ad'autres problèmes qui ne sont pas évoqués dans ce document. Une partie d'entre eux sont les privilèges utilisateur pour l'exécution des programmes, les root kits système et autres problèmes que notre code doit prendre en considération (les variables d'environnement en sont un unique exemple). | |
| 448 | 454 | ||
| 449 | 455 | Veuillez lire plus de ressources techniques telles que : | |
| 450 | 456 | ||
| 451 | 457 | Débordement de tampon : | |
| 452 | 458 | ||
| 453 | 459 | - <http://www.securiteam.com/securityreviews/5QP0L0AFFS.html> | |
| 454 | 460 | - <http://www.securiteam.com/securityreviews/5OP0B006UQ.html> | |
| 455 | 461 | - <http://www.securiteam.com/securityreviews/5IP0G1P8AM.html> | |
| 456 | 462 | - <http://www.securiteam.com/securityreviews/6Q00L00BFI.html> | |
| 457 | 463 | - <http://www.securiteam.com/securityreviews/5UP0B0A60Y.html> | |
| 458 | 464 | ||
| 459 | 465 | Déni de service: | |
| 460 | 466 | ||
| 461 | 467 | - <http://www.securiteam.com/securityreviews/5AP0V0AA1W.html> | |
| 462 | 468 | - <http://www.securiteam.com/securityreviews/6Z00T0K95O.html> | |
| 463 | 469 | ||
| 464 | 470 | Injection SQL : | |
| 465 | 471 | ||
| 466 | 472 | - <http://www.securiteam.com/securityreviews/5DP0N1P76E.html> | |
| 467 | 473 | - <http://www.securiteam.com/securityreviews/5UP010A6AA.html> | |
| 468 | 474 | - <http://www.securiteam.com/securityreviews/5GP0E2K7FO.html> | |
| 469 | 475 | ||
| 470 | 476 | --- | |
| 471 | 477 | *From the Free Pascal wiki, page "Secure programming/fr", as it stood on 2020-02-26 after a change by Trev, out of the wiki's dump of 2024-05-26. Copyright stays with the author who wrote it, according to the old wiki's [[Licensing]] page. If you have concerns about this material, [message the admin](/wiki-contact).* |