Fortify軟件

強(qiáng)化靜態(tài)代碼分析器

使軟件更快地生產(chǎn)

能見度

Fortify軟件安全中心是一個(gè)集中管理存儲(chǔ)庫(kù)，為您的整個(gè)appsec測(cè)試程序提供可見性和報(bào)告。儀表板突出了您的應(yīng)用程序的風(fēng)險(xiǎn)，并有助于審查，管理和跟蹤您的安全測(cè)試活動(dòng)，優(yōu)行修復(fù)工作并控制您的軟件組合。

“Fortify在上市之前幫助我們找到并修復(fù)了Vital Images醫(yī)liao影像軟件的安全漏洞。它直接負(fù)責(zé)改進(jìn)我們軟件的安全狀態(tài)?！?/p>

 - Tim Dawson，

Vital Image軟件工程總監(jiān)

“Fortify通過(guò)分析我們的軟件安全架構(gòu)和應(yīng)用程序代碼，幫助我們建立安全的開發(fā)實(shí)踐。我們將繼續(xù)使用Fortify軟件在其整個(gè)生命周期內(nèi)測(cè)試我們所有的軟件，以確保其始終保持安全。

- 盧克·波隆，銀行應(yīng)用項(xiàng)目經(jīng)理，

Parkeon

“在整個(gè)業(yè)務(wù)中的執(zhí)行支持和購(gòu)買對(duì)我們的成功至關(guān)重要。發(fā)展與安全共同努力，確保我們?yōu)榭蛻糇稣_的事情，我們的業(yè)務(wù)是關(guān)鍵。在開發(fā)過(guò)程中發(fā)現(xiàn)漏洞，并教育開發(fā)人員在交付工作時(shí)思考“安全”，正在改變我們的工作和交付方式。這次旅程是與安全合作關(guān)系的巨大團(tuán)隊(duì)勝利，文化轉(zhuǎn)變?yōu)殪`活的思維方式，為未來(lái)創(chuàng)造更好，可持續(xù)的過(guò)程?！?/p>

 - CISO的Jennifer Cole，

ServiceMaster

FortifySCA掃描分析功能要求

·        

跟蹤可yi的輸入數(shù)據(jù)，直到該數(shù)據(jù)被不安全使用的全過(guò)程中，分析數(shù)據(jù)使用中的安全隱患。

·        

發(fā)現(xiàn)易于遭受攻擊的語(yǔ)言函數(shù)或者過(guò)程，并理解它們使用的上下文環(huán)境，識(shí)別出使用特定函數(shù)或者過(guò)程帶來(lái)的軟件安全的隱患。

·        

jing確地跟蹤業(yè)務(wù)操作的先后順序，發(fā)現(xiàn)因代碼構(gòu)造不合理而帶來(lái)的軟件安全隱患。

·        

自動(dòng)分析軟件的配置和代碼的關(guān)系，源代碼掃描工具fortify價(jià)格，發(fā)現(xiàn)在軟件配置和代碼之間，由于配置丟失或者不一致而帶來(lái)的安全隱患。

Fortify軟件

強(qiáng)化靜態(tài)代碼分析器

使軟件更快地生產(chǎn)

“將FINDBUGS XML轉(zhuǎn)換為HP FORTIFY SCA FPR | MAIN | CA特權(quán)身份管理員安全研究白皮書?

強(qiáng)化針對(duì)JSSE API的SCA自定義規(guī)則濫用

安全套接字層（SSL / TLS）是使用加密過(guò)程提供身份驗(yàn)證，機(jī)mi性和完整性的廣泛使用的網(wǎng)絡(luò)安全通信協(xié)議。為確保該方的身份，必須交換和驗(yàn)證X.509證書。一方當(dāng)事人進(jìn)行身份驗(yàn)證后，協(xié)議將提供加密連接。用于SSL加密的算法包括一個(gè)安全的散列函數(shù)，保證了數(shù)據(jù)的完整性。

當(dāng)使用SSL / TLS時(shí)，必須執(zhí)行以下兩個(gè)步驟，以確保中間沒有人篡改通道：

證書鏈信任驗(yàn)證：X.509證書指ding頒發(fā)證書的證書頒發(fā)機(jī)構(gòu)（CA）的名稱。服務(wù)器還向客戶端發(fā)送中間CA的證書列表到根CA?？蛻舳蓑?yàn)證每個(gè)證書的簽名，到期（以及其他檢查范圍，例如撤銷，基本約束，策略約束等），從下一級(jí)到根CA的服務(wù)器證書開始。如果算法到達(dá)鏈中的后一個(gè)證書，沒有違規(guī)，則驗(yàn)證成功。

主機(jī)名驗(yàn)證：建立信任鏈后，fortify價(jià)格，客戶端必須驗(yàn)證X.509證書的主題是否與所請(qǐng)求的服務(wù)器的完全限定的DNS名稱相匹配。 RFC2818規(guī)定使用SubjectAltNames和Common Name進(jìn)行向后兼容。

當(dāng)安全地使用SSL / TLS API并且可能導(dǎo)致應(yīng)用程序通過(guò)受攻擊的SSL / TLS通道傳輸敏感信息時(shí)，可能會(huì)發(fā)生以下錯(cuò)誤使用情況。

證明所有證書

應(yīng)用程序?qū)崿F(xiàn)一個(gè)自定義的TrustManager，使其邏輯將信任每個(gè)呈現(xiàn)的服務(wù)器證書，而不執(zhí)行信任鏈驗(yàn)證。

TrustManager [] trustAllCerts = new TrustManager [] {

       新的X509TrustManager（）{

...

  public void checkServerTrusted（X509Certificate [] certs，源代碼檢測(cè)工具fortify價(jià)格，

                String authType）fortify價(jià)格

}

這種情況通常來(lái)自于自簽證書被廣泛使用的開發(fā)環(huán)境。根據(jù)我們的經(jīng)驗(yàn)，我們通常會(huì)發(fā)現(xiàn)開發(fā)人員完全禁用證書驗(yàn)證，而不是將證書加載到密鑰庫(kù)中。這導(dǎo)致這種危險(xiǎn)的編碼模式意外地進(jìn)入生產(chǎn)版本。

當(dāng)這種情況發(fā)生時(shí)，它類似于從煙霧探測(cè)器中取出電池：檢測(cè)器（驗(yàn)證）將仍然存在，提供錯(cuò)誤的安全感，源代碼檢測(cè)工具fortify價(jià)格，因?yàn)樗粫?huì)檢測(cè)煙霧（不可信方）。實(shí)際上，當(dāng)客戶端連接到服務(wù)器時(shí)，驗(yàn)證例程將樂意接受任何服務(wù)器證書。

在GitHub上搜索上述弱勢(shì)代碼可以返回13，823個(gè)結(jié)果。另外在StackOverflow上，一些問題詢問如何忽略證書錯(cuò)誤，獲取類似于上述易受攻擊的代碼的回復(fù)。這是關(guān)于投piao建議禁用任何信任管理。

fortify價(jià)格-華克斯信息由蘇州華克斯信息科技有限公司提供。蘇州華克斯信息科技有限公司位于蘇州工業(yè)園區(qū)新平街388號(hào)。在市場(chǎng)經(jīng)濟(jì)的浪潮中拼博和發(fā)展，目前華克斯在行業(yè)軟件中享有良好的聲譽(yù)。華克斯取得全網(wǎng)商盟認(rèn)證，標(biāo)志著我們的服務(wù)和管理水平達(dá)到了一個(gè)新的高度。華克斯全體員工愿與各界有識(shí)之士共同發(fā)展，共創(chuàng)美好未來(lái)。