• Technologie
  • Byznys
  • Software
  • Hardware
  • Internet
  • Telco
  • Science
  • České IT
  • Události
Žádné výsledky
Zobrazit všechny výsledky
ITBiz.cz
ITBiz.cz
Žádné výsledky
Zobrazit všechny výsledky

Proč, kdy a jak testovat aplikace na bezpečnost

Richard Jan Voigts
16. 5. 2018
| Články

Na testování bezpečnosti softwaru je třeba myslet od začátku jeho návrhu a vývoje. Existuje k tomu řada automatizovaných nástrojů, jak komerčních, tak open source, vždy by je ale měla doplnit službou testování bezpečnosti od specializované firmy. Zkušený expert je vždy více než stroj, který si většinou poradí jen s méně sofistikovanými útoky, říká Radovan Vacek z firmy insighti, která se touto problematikou zabývá.

V poslední době existuje množství firem a vzniká řada startupů se zajímavými produkty v oblasti vývoje softwaru. Jak jsou na tom tyto firmy z hlediska bezpečnosti?

Softwarové firmy se v první řadě snaží vyvinout funkční produkt a jeho bezpečnost není tím, čím by se primárně zabývaly. Většinou je to kvůli nedostatku kapacit, času, ale třeba i praktických zkušeností. Otázku bezpečnosti pak začnou komplexněji řešit většinou až v době, kdy překročí svoji embryonální fázi startupu. Pak hledají možnosti, jak zabezpečení programu zvýšit.

Proč by si vás firmy tohoto typu měly vůbec najmout?

Radovan Vacek, insighti

Radovan Vacek, insighti

Bezpečnost se dnes stala významným prodejním artiklem. Nemůžete poskytovat služby zákazníkům, ať už institucionálním nebo fyzickým osobám, aniž byste alespoň neproklamovali bezpečnost. Pokud však bezpečnost neměříte, ani nevíte, jestli jí máte. Proto byste také měli provádět testy bezpečnosti, a to stejným způsobem, jako když provádíte testy na funkčnost produktu. Proto by měly vývojářské firmy vždy spolupracovat s někým, kdo tyto testy na bezpečnost provádí, třeba s námi. Druhá možnost je řešení zabezpečení produktu svépomocí, to je ale téměř ve všech případech méně účinné i efektivní.

V čem zpravidla dělají startupy, začínající vývojáři, nejčastější chyby?

Právě tím, že bezpečnost neměří a přicházejí k jejímu řešení dost pozdě. Pokud do takovéto firmy přijde náš tester, v drtivé většině případů slaví velké vítězství. Šachisté by tomu řekli „šustrmat“ – mat na tři tahy.

A mohou si vás startupy vůbec dovolit najmout?

Samozřejmě. Tady existuje zažitá představa, že malou firmu pomoc profesionálního dodavatele bezpečnosti musí zruinovat. Naše služby jsou ale diferencované podle rozsahu a složitosti řešení, což většinou i koresponduje s velikostí a možnostmi vývojáře.

Náklady na bezpečnost pak tvoří nějakou adekvátní část, která podle mě rozhodně není nijak zásadní. Navíc jak jsem již říkal, pokud si firma řeší bezpečnost sama, většinou je to méně efektivní a tedy víc nákladné.

Existuje nějaké obecné doporučení, jak by měly takovéto mladé firmy s jinak dobrými nápady postupovat, aby byl jejich produkt zároveň bezpečný?

Doporučením je o bezpečnost se zajímat. Tak jak je jasné, že softwarový produkt musí mít funkční vlastnosti a dělat, co se od něj požaduje, musí se stejným způsobem klást důraz i na jeho zabezpečení. Dnes už jde o větší téma, než jak tomu bylo v minulosti. Na internetu lze najít velké množství zdrojů, jak vyvíjet bezpečné aplikace, čemu se vyhnout, jaké knihovny a návrhové vzory v aplikacích používat. To všechno vede k tomu, že bezpečnost aplikací je dnes vyšší, než bývávala.

Hacking však zároveň stojí na trochu jiných principech než tyto programátorské návrhové vzory. Proto je dobré se bezpečností zabývat už od začátku návrhu aplikace, testovat si ji, a to včas. Existují firmy jako naše insighti, které k tomu poskytují servis. Kromě toho je však dostupné velké množství nástrojů, komerčních i open source, které alespoň nějaké základní měření bezpečnosti umožňují. Určitě bych proto všem doporučil, aby po nich sáhli a co nejdříve je do svého vývojového cyklu nasadili.

Jaký je rozdíl mezi automatizovaným testováním a testováním od specializované firmy, jakou je třeba vaše insighti?

Automatizovaný test udělá pouze ty kroky, které do něj nějaký tvůrce sepsal. Nenapsal je však se znalostí té které konkrétní aplikace, kterou testovat má. Vždy proto bude takový test omezen na ty věci, které jdou udělat jednoduše a velice genericky, aby byly aplikovatelné na téměř kterýkoliv aplikační software. Vývoj softwaru je ale poměrně široké téma, používají se různé knihovny, technologie, vývojáři různě přistupují k řešení stejného problému.

Proto také nelze vždy tyto generické postupy s vidinou dobrého výsledku pro zajištění bezpečnosti aplikace úspěšně aplikovat. Použitím automatizovaného nástroje se pravděpodobně jen vyhnete tomu, aby někdo bez hlubší znalosti váš software hacknul tím, že si stáhne nějaký „tool“ a s jeho pomocí našel chybu typu „low hanging fruit“. Pokud však uvažujete o seriózní bezpečnosti, zejména z pohledu klientů, pak lidská práce (etického) hackera jako takového zajde mnohem, mnohem dál. Najde totiž takové věci, které generalizovat nejdou a budou platné jen pro váš softwarový produkt, které žádný automat nemůže najít.

Rubriky: ByznysČeské ITCloudEkomerceInternetOperační systémyPodnikový softwareSecurityTechnologieVývoj a HTML

Související příspěvky

Kryptoměny a jejich ekonomika
Zprávičky

Bitcoin pokračuje v růstu na další rekordy, překonal hranici 118 000 dolarů

11. 7. 2025
Zprávičky

Hackeři ukradli data 5,7 milionu zákazníků australských aerolinek Qantas

11. 7. 2025
Meta lákala zaměstnance OpenAI na bonus ve výši 100 milionů dolarů
Zprávičky

Muskova společnost xAI představila novou verzi chatbota Grok 4

11. 7. 2025
Články

Útoky zaměřené na cloud jsou stále sofistikovanější kvůli automatizaci a vytrvalosti

11. 7. 2025

Napsat komentář

Vaše e-mailová adresa nebude zveřejněna. Vyžadované informace jsou označeny *

Souhlasím se Zásadami ochrany osobních údajů .

Zprávičky

Kryptoměny a jejich ekonomika

Bitcoin pokračuje v růstu na další rekordy, překonal hranici 118 000 dolarů

ČTK
11. 7. 2025

Cena bitcoinu dnes pokračuje v prudkém růstu. Kolem 8:30 SELČ se vyšplhala na další

Hackeři ukradli data 5,7 milionu zákazníků australských aerolinek Qantas

ČTK
11. 7. 2025

Hackeři v rámci rozsáhlého kybernetického útoku z minulého týdne ukradli data 5,7 milionu zákazníků

Meta lákala zaměstnance OpenAI na bonus ve výši 100 milionů dolarů

Muskova společnost xAI představila novou verzi chatbota Grok 4

ČTK
11. 7. 2025

Americká společnost xAI miliardáře Elona Muska představila nový model chatbota Grok 4. Ten má

Sophos představil XDR řešení pro synchronizované zabezpečení

Ministerstvo vnitra odhalilo kybernetický útok, údaje občanů neunikly

ČTK
10. 7. 2025

Ministerstvo vnitra odhalilo kybernetický útok na jeden ze systémů úřadu, oznámil dnes na tiskové

Český T-Mobile vyčleňuje vysílače do samostatné firmy

Na Slovensku skončila největší elektronická aukce mobilních frekvencí

ČTK
10. 7. 2025

Na Slovensku včera skončila největší elektronická aukce mobilních frekvencí v historii země. Vynesla rekordní

Vláda zakázala používat ve státní správě produkty čínské společnosti DeepSeek

ČTK
9. 7. 2025

Vláda zakázala používat ve státní správě jakékoli produkty čínské společnosti DeepSeek. Rozhodla tak na

Nvidia jako první firma na burze dosáhla tržní hodnoty 4 bilionů dolarů

ČTK
9. 7. 2025

Americký výrobce čipů Nvidia se stal celosvětově první firmou s akciemi na burze, jejíž

Vláda zavede sedmiprocentní digitální daň pro internetové giganty

Při kyberútoku v Nemocnici Nymburk mohly uniknout osobní údaje pacientů

ČTK
9. 7. 2025

Při kyberútoku v Nemocnici Nymburk z minulého týdne mohly uniknout osobní údaje pacientů. Zda

Tiskové zprávy

Společnost QNAP představuje myQNAPcloud One Beta

Acer slaví několikanásobné ocenění cenou Red Dot Product Design Awards 2025

Acer for Business EMEA překonává růst trhu

Nejnovější modely Acer Chromebook Plus nyní s 12měsíčním balíčkem Google AI Pro včetně služby NotebookLM zdarma

ANECT mění vedení společnosti a posiluje management

Optimize by Acer: nejnovější evoluce v oblasti podnikových záručních podmínek

Zpráva dne

Květen je měsícem růstu, můžete růst s Windows 11 jen za €20.00!

Květen je měsícem růstu, můžete růst s Windows 11 jen za €20.00!

Redakce
15. 5. 2025

Kupte Windows 11 CDkey od Goodoffer24.com a můžete růst s tímto OS jak při...

Kalendář

Zář 22
22. září @ 8:00 - 26. září @ 17:00

EMO Hannover 2025

Říj 1
Celý den

Cyber Attacks

Říj 21
Celý den

Bezpečnosť a dostupnosť dát

Zobrazit kalendář

Komentujeme

Chvála černých skřínek

Malé modely AI mají být velkým trendem

Pavel Houser
3. 1. 2025

V záplavě prognóz technologického vývoje (nejen) v roce 2025 zde prozatím trochu zapadlo jedno téma, které...

Slovník

Odpisy

SEM

IMEI

Kategorie

  • Články
  • Komentujeme
  • Slovník
  • Tiskové zprávy
  • Zprávičky

Portál ITbiz.cz přináší informace z IT a byznysu již od roku 2006. Provozuje jej internetové vydavatelství Nitemedia. Hosting zajišťuje společnost Greenhousing.cz. Mezi další naše projekty patří například ABClinuxu.cz a Sciencemag.cz. Na stránce Redakce naleznete informace o redakci a možnostech inzerce.

Rubriky

Akce a události Byznys Cloud Ekomerce Hardware Internet Operační systémy Podnikový software Právo Science Security Technologie Telekomunikace Veřejná správa Vývoj a HTML Zpráva dne České IT

Píšeme jinde

RSS ScienceMag RSS

  • Střevní mikrobiom mohl ovlivnit i růst mozku předků člověka
  • 3I/ATLAS: Mezihvězdný objekt je možná nejstarší kometou, kterou jsme kdy spatřili
  • Úpadek vědy a konec civilizací

RSS AbcLinuxu RSS

  • Počítačová hra DOGWALK
  • AI řešení náboru pracovníku pro McDonald's mělo přihlašovací jméno 123456 a heslo 123456
  • Visual Studio Code a VSCodium 1.102
Žádné výsledky
Zobrazit všechny výsledky
  • Technologie
  • Byznys
  • Software
  • Hardware
  • Internet
  • Telco
  • Science
  • České IT
  • Události

© 2019 Vydává Nitemedia s.r.o. Hosting zajišťuje Greenhousing.cz.

Tento web používá cookies. Pokračováním dáváte souhlas s jejich používáním. Více na itbiz.cz/soukromi.