2011年安全事件層出不窮，幾乎可以稱為“黑客年”。以前黑客通常是利用程序漏洞來造成破壞，令網(wǎng)站陷入尷尬的境地，但如今他們卻是為了竊取數(shù)據(jù)、IP地址，或者通過在網(wǎng)站中植入木馬將惡意軟件安裝到訪客的電腦里，更有甚者轉(zhuǎn)移賬戶、違反行業(yè)規(guī)定等等，因此應(yīng)用程序的安全顯得越來越重要。

安全漏洞TOP5

據(jù)統(tǒng)計，10個程序中有8個以上在第一次測試時都不能通過OWASP(Open Web Application Security Project，開放式Web應(yīng)用程序安全項目)的檢查，而且有一半的開發(fā)者在基礎(chǔ)程序安全評估中都只能獲得C級甚至更低的評級。

下圖展示了排名前五位的安全漏洞。其中橙色表示受影響的Web應(yīng)用的比例，XSS最高;藍色表示被黑客利用的比例，SQL注入的比例最高。

編程語言中的安全漏洞

下圖展示了一些流行的編程語言中比例最高的3種安全漏洞。其中XSS的威脅依然很高，而信息泄露和加密問題也不容忽視。

不同開發(fā)模式的安全漏洞

下圖展示了各種開發(fā)模式(內(nèi)部開發(fā)、商業(yè)項目、開源項目)所帶來的安全漏洞，其中XSS高居榜首。

首次提交OWASP測試的合格率

下圖展示了內(nèi)部項目、商業(yè)項目、開源項目、外包項目、綜合開發(fā)項目在首次提交OWASP測試的合格率，其中內(nèi)部項目最高，外包項目最低。

Android應(yīng)用也不安全

Android應(yīng)用的安全問題主要有兩類：一類是加密問題，另一類是信息泄露問題。加密問題中61%是缺乏熵編碼的問題，這通常是由于在Java程序中使用統(tǒng)計RNG而不用加密RNG所致。而這些問題用一行代碼就能修復(fù)。

修復(fù)安全問題所需時間

其中外包項目中的安全問題通常能在一周之內(nèi)修復(fù)，其次是開源項目。而其他項目的修復(fù)周期相對來說比較長一些。

如何增強程序安全性?

●及時更新軟件。自己編寫安全的軟件或要求供應(yīng)商及時修復(fù)安全問題。

●不斷學(xué)習(xí)。自學(xué)鞏固程序安全基礎(chǔ)知識，參加培訓(xùn)班。

●要求供應(yīng)商為其軟件提供安全保證。要求供應(yīng)商查看程序代碼，在合同里寫入安全保證條款。