Ieri sera l'ultima sessione è di Michael Howard, personaggio che non ha bisogno di presentazioni e autore, tra gli altri, di Writing Secure Code. Avevo già chiaccherato a lungo con lui a Redmond in occasione dell'MVP Summit 2005 e scambiato diverse altre email visto che è un attivo supporter del nostro gruppo MVP Developer Security. Ieri mi ha detto che nei prossimi giorni dovremmo essere insieme al booth ATE della sicurezza 
.
La sessione inizia con una introduzione al processo SDL sottolineando che ha dimostrato di funzionare nei casi casi reali in cui è stato applicato. Michael sottolinea che la sessione è specifica per gli aspetti di SDL che riguardano strettamente lo sviluppatore e quindi inizia con una lunga serie di bug a cui stare molto attenti e naturalmente alle contromisure da adottare.
Da XPSP2 a Vista i bollettini di sicurezza sono scesi di più del 50%. Per esempio in Vista sono state rimosse 500'000 chgiamate a vecchie API (CRT di C++) in luogo di una versione sicura.
Poi viene mostrato velocemente il vantaggio del linguaggio di annotazione SAL che permette di inserire dei metadati all'interno di listati C++ per lasciare al compilatore VC++2005 di trovare automaticamente potenziali bug come i bufffer overflow.
Michael pone anche l'acento su come i nuovi compilatori (VC++2005) abbiano un certo numero di controlli impliciti che evitano "gratis" molti security bug. Un esempio è quello di Over/Underflow aritmetici.
Arrivano poi raccomandazioni su quali algoritmi crittografici sia meglio evitare, a meno che non sia indispensabile usarli per compatibilità con le attuali tecnologie (MD5 -> Digest authentication, MD4 -> WPA, ...)
Seguono una serie di altre raccommandazioni come quella di non modificare, se possibile, le ACL di default, in quanto possono portare a elevazione di privilegi.
Interessante il fatto che tra le tante contromisure adottate da Windows ci sia il BSOD nel caso in cui il security log si riempia completamente. Non ha senso continuare se non puoi neppure eseguire l'audit di quello che sta accadendo.
Altra curiosità è quella che Vista è compilato con il VC++ 2008 compiler, che uscirà solo a fine mese!
Per altri dettagli, anche Mauro ha bloggato in abbondanza la sessione.
Si chiude con la raccomandazione che non sono i tools a rendere sicura una applicazione. E ancora sottolinea quanto tutte le figure coinvolte in una applicazione debbano avere una conoscenza di base della security, altrimenti non è possibile ottenere alcun risultato.
Nel post sessione siamo scesi nel booth Sicurezza e si è sottoposto al bagno di folla dove ha regalato il suo libro su SDL e firmato, anche al sottoscritto 
, una dedica ai tanti attendees. Avevo già comprato una copia del libro e posso dire che merita certamente.