CERT C++: MSC41-C

Никогда трудная кодозависимая информация

расширьте все на странице

Описание

Управляйте определением

Никогда твердый кодозависимый ^{information.[1]}

Реализация Polyspace

Это средство проверки проверяет на Трудные закодированные уязвимые данные.

Примеры

развернуть все

Трудно закодированные уязвимые данные

Трудно закодированные уязвимые данные происходят, когда данные, которые потенциально чувствительны, непосредственно отсоединены в коде, например, как строковые литералы. Средство проверки идентифицирует данные, столь же чувствительные от их использования в определенных функциях, таких как функции шифрования пароля.

Следующие данные могут быть потенциально чувствительными.

Тип данных	Функции, которые указывают на деликатный характер информации
Имя хоста	`sethostname`, `setdomainname`, `gethostbyname`, `gethostbyname2`, `getaddrinfo`, `gethostbyname_r`, `gethostbyname2_r` (аргумент строки) `inet_aton`, `inet_pton`, `inet_net_pton`, `inet_addr`, `inet_network` (аргумент строки) `mysql_real_connect`, `mysql_real_connect_nonblocking`, `mysql_connect` (2-й аргумент)
Пароль	`CreateProcessWithLogonW`, `LogonUser` (1-й аргумент) `mysql_real_connect`, `mysql_real_connect_nonblocking`, `mysql_connect` (3-й аргумент)
База данных	MySQL: `mysql_real_connect`, `mysql_real_connect_nonblocking`, `mysql_connect` (4-й аргумент) SQLite: `sqlite3_open`, `sqlite3_open16`, `sqlite3_open_v2` (1-й аргумент) PostgreSQL: `PQconnectdb` Microsoft SQL: `SQLDriverConnect` (3-й аргумент)
Имя пользователя	`getpw`, `getpwnam`, `getpwnam_r`, `getpwuid`, `getpwuid_r`
Соль	`crypt`, `crypt_r` (2-й аргумент)
Ключи криптографии и векторы инициализации	OpenSSL: `EVP_CipherInit`, `EVP_EncryptInit`, `EVP_DecryptInit` (3-й аргумент) `EVP_CipherInit_ex`, `EVP_EncryptInit_ex`, `EVP_DecryptInit_ex` (4-й аргумент)
Seed	`srand`, `srandom`, `initstate` (1-й аргумент) OpenSSL: `RAND_seed`, `RAND_add`

Риск

Информация, которая является hardcoded, может быть запрошена от двоичных файлов, сгенерированных из кода.

Фиксация

Постарайтесь не трудно кодировать уязвимую информацию.

Проверяйте информацию

Группа: правило 48. Разное (MSC)

Смотрите также

Check SEI CERT-C++ (-cert-cpp))

Темы

Проверяйте на кодирование стандартных нарушений

Внешние веб-сайты

MSC41-C

Введенный в R2020a

^[1] Это программное обеспечение было создано MathWorks, включающим фрагменты: “Веб-сайт SEI CERT-C”, © 2017 Carnegie Mellon University, веб-сайт SEI CERT-C © 2017 Carnegie Mellon University”, CERT SEI C Кодирование Стандарта – Правил для Разработки безопасных, Надежных и Защищенных систем – 2 016 Выпусков”, © 2016 Carnegie Mellon University, and “CERT SEI Стандарт Кодирования C++ – Правил для Разработки безопасных, Надежных и Защищенных систем на C++ – 2 016 Выпусков” © 2016 Carnegie Mellon University, со специальным разрешением от его Института программной инженерии.

ЛЮБОЙ МАТЕРИАЛ УНИВЕРСИТЕТА КАРНЕГИ-МЕЛЛОН И/ИЛИ ЕГО ИНСТИТУТА ПРОГРАММНОЙ ИНЖЕНЕРИИ СОДЕРЖАЛ, ЗДЕСЬ ПРЕДОСТАВЛЯЕТСЯ НА БАЗИСЕ "ASIS". УНИВЕРСИТЕТ КАРНЕГИ-МЕЛЛОН НЕ ДАЕТ ГАРАНТИЙ НИКАКОГО ВИДА, ИЛИ ОПИСАЛ ИЛИ ПОДРАЗУМЕВАЛ, ОТНОСИТЕЛЬНО ЛЮБОГО ВОПРОСА ВКЛЮЧАЯ, НО НЕ ОГРАНИЧИЛ, ГАРАНТИЯ ПРИГОДНОСТИ ДЛЯ ЦЕЛИ ИЛИ ВЫСОКОГО СПРОСА, ИСКЛЮЧИТЕЛЬНОСТИ, ИЛИ ЗАКАНЧИВАЕТСЯ ПОЛУЧЕННЫЙ ИЗ ИСПОЛЬЗОВАНИЯ МАТЕРИАЛА. УНИВЕРСИТЕТ КАРНЕГИ-МЕЛЛОН НЕ ДАЕТ ГАРАНТИИ НИКАКОГО ВИДА ОТНОСИТЕЛЬНО СВОБОДЫ ОТ ПАТЕНТА, ТОВАРНОГО ЗНАКА ИЛИ НАРУШЕНИЯ АВТОРСКОГО ПРАВА.

Это программное обеспечение и сопоставленная документация не были рассмотрены, ни являются подтвержденным Университетом Карнеги-Меллон или его Институтом программной инженерии.

Документация