Facebook ha annunciato mercoledì di essere open-source Mariana Trench , una piattaforma di analisi statica incentrata su Android che l'azienda utilizza per rilevare e prevenire bug di sicurezza e privacy nelle applicazioni create per il sistema operativo mobile su larga scala.
"[Mariana Trench] è progettato per essere in grado di scansionare grandi basi di codici mobili e segnalare potenziali problemi sulle richieste pull prima che entrino in produzione", ha affermato il colosso della tecnologia sociale di Menlo Park .
In poche parole, l'utilità consente agli sviluppatori di inquadrare le regole per i diversi flussi di dati per la scansione della base di codice al fine di scoprire potenziali problemi, ad esempio difetti di reindirizzamento dell'intento che potrebbero comportare la perdita di dati sensibili o vulnerabilità di iniezione che consentirebbero agli avversari di inserire codice arbitrario: definisce esplicitamente i limiti della provenienza (origine) e del flusso (sink) dei dati forniti dall'utente che entrano nell'app, ad esempio metodi che possono eseguire codice e recuperare o interagire con i dati utente.
I flussi di dati rilevati che violano le regole vengono quindi restituiti a un ingegnere della sicurezza o all'ingegnere del software che ha effettuato la richiesta pull contenente le modifiche.
Il gigante dei social media ha affermato che oltre il 50% delle vulnerabilità rilevate nella sua famiglia di app, tra cui Facebook, Instagram e WhatsApp, sono state trovate utilizzando strumenti automatizzati. Mariana Trench segna anche il terzo servizio di questo tipo che l'azienda ha reso open source dopo Zoncolan e Pysa , ognuno dei quali ha come target i linguaggi di programmazione Hack e Python, rispettivamente.
Lo sviluppo segue anche mosse simili da GitHub di proprietà di Microsoft, che ha acquisito Semmle e ha lanciato un Security Lab nel 2019 con l'obiettivo di proteggere il software open source, oltre a rendere disponibili gratuitamente strumenti di analisi del codice semantico come CodeQL per individuare le vulnerabilità in pubblico. codice disponibile.
"Ci sono differenze nell'applicazione di patch e nell'assicurare l'adozione di aggiornamenti del codice tra applicazioni mobili e web, quindi richiedono approcci diversi", ha affermato la società.
"Mentre il codice lato server può essere aggiornato quasi istantaneamente per le app Web, la mitigazione di un bug di sicurezza in un'applicazione Android si basa sul fatto che ogni utente aggiorni l'applicazione sul dispositivo che possiede in modo tempestivo. Questo lo rende molto più importante per qualsiasi app sviluppatore di mettere in atto sistemi per aiutare a prevenire che le vulnerabilità si trasformino in versioni mobili, quando possibile".
Mariana Trench è accessibile qui tramite GitHub e Facebook ha anche rilasciato un pacchetto Python sul repository PyPi.
Commenti
Posta un commento