Detekce bezpečnostních chyb pomocí statické analýzy kódu

Bc. David Formánek

Diplomová práce

Detection of security bugs using static code analysis

Anotace:

Práce se zabývá automatickou statickou analýzou kódu a jejím využitím pro detekci třídy bezpečnostních zranitelností nazývaných jako injekce. Kromě nezbytné teorie je především popsána vlastní implementace nového mechanismu, který pomocí tzv. taint analýzy umožňuje tyto chyby spolehlivě detekovat v Java aplikacích. Tento mechanismus byl integrován do rozšíření FindSecurityBugs pro volně dostupný nástroj FindBugs. Pokrok v analýze injekčních chyb byl ověřen na testovací sadě Juliet - přesnost detekce vzrostla na 95 % oproti 53 % u původního nástroje a rozšíření.

Abstract:

The thesis deals with static code analysis and its usage for detection of a class of security bugs called injections. Besides the needful theory, we describe own implementation of a new mechanism that allows reliable detection of those bugs in Java applications by utilizing so-called taint analysis. This mechanism has been integrated into FindSecurityBugs - extension for the open-source tool called FindBugs. Improvement of the analysis of injection weaknesses has been verified using Juliet Test Suite - the accuracy of the detection has increased to 95% in contrast to 53% for the original tool and extension.

Klíčová slova

bezpečnost software, statická analýza, taint analýza, injekce, FindBugs, software security, static analysis, taint analysis, injection

Jazyk práce: čeština

Datum vytvoření / odevzdání či podání práce: 30. 5. 2016

Obhajoba závěrečné práce

• Obhajoba proběhla 28. 6. 2016
• Vedoucí: RNDr. Andrij Stecko, Ph.D.
• Oponent: RNDr. Petr Švenda, Ph.D.

Masarykova univerzita

Fakulta informatiky

Magisterský studijní program / obor:
Informatika / Bezpečnost informačních technologií