トレーニングコースLFD121-JP「セキュアソフトウェア開発」のご紹介

Linux Foundation 柴田次一氏
2023年2月28日開催 第1回 OSSセキュリティMeetup 講演資料

Transcript

1. トレーニングコース LFD121-JP 「セキュア ソフトウェア開発」 のご紹介 28, Feb 2023 Linux Foundation Tsuigkazu Shibata
2. https://openssf.org/training/courses/
3. • LFD121はセキュアなソフト開発のためのHOWTOを 説明したソフト開発者向けのコース • 全てオンラインで提供される • セキュアなソフト開発の基本に絞っている • 所要時間 約14-18時間 • OpenSSF BestPractice WGの成果 https://openssf.org/training/courses/
4. https://training.linuxfoundation.org/training/developing-secure-software-lfd121-jp/
5. David A Wheeler Linux Foundation, Director of Open Source Supply Chain Security. バージニア州フェアファック スにあるジョージ・メイソン 大学（GMU）でセキュアソフ トウェアの開発の大学院課 程を指導。
6. LFD121-JP セキュア ソフトウェア開発の構成 第１部　要件、設計、再利用 第２部　実装 第３部　検証と より専門的なトピック
7. 第1部　要件、設計、再利用 • セキュリティの基本 ◦ セキュリティとは何か　 CIAトライアド ▪ セキュリティ要件　セキュリティ目標 ◦ プライバシーとは、法規制、米国、欧州 GDPR • セキュア設計の原則 ◦ S＆S論文で示されるセキュア設計の原則 (Jerome H. Saltzer & Michael D. Schroeder) • 外部ソフトウェア利用 ◦ ソフトウェア再利用の基本 ◦ OSS選択時の評価 ◦ 再利用可能なソフトウェアのダウンロード ◦ 再利用ソフトのupdate適用 ◦ ソフトウェア利用方法の update CIAトライアド 機密性: Confidentiality 完全性: Integrity 可用性: Availability
8. 第２部　実装 • 入力検証 ◦ 入力検証はどうあるべきか、 allow listing/good listing vs deny listing/bad listing ◦ 数値とテキスト、unicode エンコーディング、正規表現でのチェックと ReDOS脆弱性 ◦ 内部形式変換（deserialization), CSV • データの安全な処理 ◦ デフォルトのクレデンシャルは NG、ハードコードされたクレデンシャルもダメ ◦ バッファオーバフロー、メモリの２重解放、解放後使用、解放漏れ • 他のプログラムの呼び出し ◦ SQLインジェクションの例、 OSコマンドインジェクション、エラーリターンなど • 出力の送出 ◦ クロスサイトスクリプティング
9. 第３部　検証と より専門的なトピック • 検証 ◦ ソフトウェアの問題を検知するツール類：静的解析（コードスキャナ、 ReDOS解析、暗号やパスワードのハード コード検知）、動的解析（テストカバレッジ、ファズテスト、アドレスサニタイザ） • 脅威モデリング ◦ STRIDE • 暗号 ◦ AES ◦ 使ってはいけないもの MD4, SHA-0 ◦ SHA-2(SHA-256, SHA-512), SHA-3 は広く使われている ◦ Git のSHA‐1 の今後は？ ◦ RSA • その他トピック ◦ 脆弱性レポートの受信からCVEの取得、アップデートの公開までのプロセス ◦ CICDパイプラインを含む開発配付環境の堅牢化
10. 本コースについて • 要件、設計から開発、検証に至るソフト開発の場面で必要な最低限のセキュリティ 上の知識を習得することが可能。 • e-Learning コースなので時間のある時に自由に受講可能。また適宜問題が設定 されていて知識の確認が可能。 • 開発チームに適用することで、チーム全体の知識・スキルの底上げが可能。 • さらにここで得た知識を元に、OpenSSF で実施する必要があるセキュリティ強化の 活動を検討するベースにもなる。
11. オープンソースでの展開 • David wheeler のGithub Repoにはオリジナルのテキストが公開済み。 • 日本語テキストは今後このRepoにマージする予定。 • 日本語テキストの翻訳上の問題や英語のテキストの課題については Github上で コメントや変更提案を提供可能。 https://github.com/ossf/secure-sw-dev-fundamentals
12. 今後、可能なこと • トレーニングコースについては OpenSSF Best Practice WG にて議論可能。 • トレーニングコースの内容についてコントリビューションすることも可。 ◦ 日本語版の翻訳上の問題等について ◦ 英語版の課題について ◦ オープンソースの標準的なプロセスで実施 • 興味がある方は参加されては如何でしょうか？