code review

Eccola
qui
la mia intervista rilasciata al sito Helpnet
Security su
dawnscanner.

Qualche giorno fa, mi hanno sottoposto il codice di un sistema di
blogging volutamente scritto in
maniera non sicura. Al suo interno ci sono alcune vulnerabilità che avrei
dovuto trovare e per le quali scrivere un minimo di reportistica.

Esiste un teorema fondamentale nell’informatica teorica che dice che una
funzione polinomiale non può stabilire la correttezza di un’altra funzione
polinomiale. Lo so, l’enunciazione è poco accademica e molto ortodossa, il
concetto però è fondamentale e smonta i claim sensazionalistici dei vendor
di tool di code review, dawnscanner
compreso.

Un paio di settimane
fa
eravamo nel pieno del bubbone #shellshock, tutti ad applicare patch, tutti con
il fiato sul collo del proprio capo da una parte ed un occhio ai bollettini CVE
che sembravano non finire mai dall’altra.

Se non sapete cosa sia la vulnerabilità
shellshock, allora
siete rimasti scollegati dalla rete negli ultimi 4, 5 giorni. In alternativa
non vi occupate né di software, né di Information Technology in generale, il
che in alcune circostanze è un bene.

E’ almeno un annetto che il mio capo mi chiede se è possibile automatizzare
alcuni test. A lui si è aggiunto il mio team mate da un po’. Di solito quando
si tratta di cambiamenti così radicali, lascio che l’esigenza di ripresenti da
sola un po’ di volte per capire quanto è critica, prima di buttarmi a capofitto
nell’implementarla.