CERT C: Rec. MEM06-C

Убедитесь, что конфиденциальные данные не записаны на диск

развернуть все на странице

Описание

Определение правила

Убедитесь, что конфиденциальные данные не записаны на диск.^[1]

Реализация Polyspace

Эта проверка проверяет наличие распечатанных конфиденциальных данных.

Примеры

расширить все

Распечатанные конфиденциальные данные

Проблема

Распечатанные конфиденциальные данные обнаруживают функции печати, такие как stdout или stderr, которая печатает конфиденциальную информацию.

Чекер рассматривает следующую конфиденциальную информацию:

Возвращает значения функций манипуляции паролем, таких как getpw, getpwnam или getpwuid.
Входные значения функций, таких как Windows^®-специфическая функция LogonUser.

Риск

Печать конфиденциальной информации, такой как пароли или пользовательская информация, позволяет злоумышленнику получить дополнительный доступ к информации.

Зафиксировать

Одно из исправлений этого дефекта - не распечатывать конфиденциальную информацию.

Если вы сохраняете свой логфайл во внешний файл, задайте разрешения для файлов, чтобы злоумышленники не могли получить доступ к информации логфайла.

Пример - Печать паролей

#include <sys/types.h>
#include <pwd.h>
#include <stdio.h>
#include <string.h>
#include <unistd.h>

extern void verify_null(const char* buf);
void bug_sensitivedataprint(const char * my_user) {
    struct passwd* result, pwd;
    long bufsize = sysconf(_SC_GETPW_R_SIZE_MAX);
    char buf[1024] = "";
    getpwnam_r(my_user, &pwd, buf, bufsize, &result);
    puts("Name\n");
    puts(pwd.pw_name);
    puts("PassWord\n");
    puts(pwd.pw_passwd);
    memset(buf, 0, sizeof(buf));
    verify_null(buf);
}

В этом примере Bug Finder флаги puts для печати пароля pwd.pw_passwd.

Коррекция - Запутать пароль

Одной из возможных коррекций является запутывание информации о пароле, чтобы информация не была видна.

#include <sys/types.h>
#include <pwd.h>
#include <stdio.h>
#include <string.h>
#include <unistd.h>

extern void verify_null(const char* buf);

void sensitivedataprint(const char * my_user) {
    struct passwd* result, pwd;
    long bufsize = sysconf(_SC_GETPW_R_SIZE_MAX);
    char buf[1024] = "";
    getpwnam_r(my_user, &pwd, buf, bufsize, &result);
    puts("Name\n");
    puts(pwd.pw_name);
    puts("PassWord\n");
    puts("XXXXXXXX\n"); 
    memset(buf, 0, sizeof(buf));
    verify_null(buf);
}

Проверяйте информацию

Группа: Рек. 08. Управление памятью (MEM)

См. также

Check SEI CERT-C (-cert-c)

Темы

Проверяйте на нарушения стандарта кодирования

Внешние веб-сайты

MEM06-C

Введенный в R2019a

^[1] Это программное обеспечение было создано MathWorks, включающее фрагменты: «Сайт SEI CERT-C», © 2017 Университет Карнеги Меллон, Веб-сайт SEI CERT-C + + © 2017 Университет Карнеги Меллон, "Стандарт кодирования SEI CERT C - Правила разработки безопасных, Надежные и безопасные системы - 2016 Edition ", © 2016 Университет Карнеги Меллон, и "Стандарт кодирования SEI CERT C++ - Правила разработки безопасных, Надежные и безопасные системы в C++ - 2016 Edition "© 2016 Университет Карнеги Меллон, с специального разрешения от его Института программной инженерии.

ЛЮБОЙ МАТЕРИАЛ УНИВЕРСИТЕТА КАРНЕГИ МЕЛЛОН И/ИЛИ ЕГО ИНЖЕНЕРНОГО ИНСТИТУТА ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ, СОДЕРЖАЩИЙСЯ В НАСТОЯЩЕМ ДОКУМЕНТЕ, ПОСТАВЛЯЕТСЯ НА БАЗИСЕ «КАК ЕСТЬ». УНИВЕРСИТЕТ КАРНЕГИ МЕЛЛОН НЕ ДАЕТ НИКАКИХ ГАРАНТИЙ, ВЫРАЖЕННЫХ ИЛИ ПОДРАЗУМЕВАЕМЫХ, В ОТНОШЕНИИ ЛЮБОГО ВОПРОСА, ВКЛЮЧАЯ, НО НЕ ОГРАНИЧИВАЯСЬ, ГАРАНТИЮ ПРИГОДНОСТИ ДЛЯ ЦЕЛЕЙ ИЛИ КОММЕРЧЕСКОЙ ВЫГОДЫ, ИСКЛЮЧИТЕЛЬНОСТИ, ИЛИ УНИВЕРСИТЕТ КАРНЕГИ МЕЛЛОН НЕ ДАЕТ НИКАКИХ ГАРАНТИЙ В ОТНОШЕНИИ СВОБОДЫ ОТ ПАТЕНТА, ТОВАРНОГО ЗНАКА ИЛИ НАРУШЕНИЯ АВТОРСКИХ ПРАВ.

Это программное обеспечение и связанная с ним документация не были рассмотрены и не одобрены Университетом Карнеги-Меллон или его Институтом программной инженерии.

Документация