LAMP スタック:品質およびセキュリティ

Size: px

Start display at page:

Download "LAMP スタック:品質およびセキュリティ"

ほだかわにべ
4 years ago
Views:

1 LAMP スタック : 品質およびセキュリティ Rich Cerruto 日本アジア担当ディレクター Copyright Coverity, Inc All Rights Reserved.Coverity, Inc. の書面による許可を事前に得ることなく本書の全体またはその一部を複製したり検索システム ( コンピュータベースなど ) に保存したり転送したりすることは形式や手段にかかわらず禁止されています

2 Coverity のベーシックなアプローチ静的ソースコード解析検出できる問題セキュリティ上の脆弱性システムとプロセスのクラッシュ無限ループパフォーマンスの劣化サービス拒否権限昇格アプローチコードを実行しないテストケースを作成しないすべてのパスを解析するデータメモリおよびファイルの破損予期しない動作並列処理の問題 2

3 オープンソース + Coverity: 静的解析技術の改善飛躍的な研究所技術 Linux でのソースコード静的解析 Coverity の設立 - - Linux での強化会社の成長と拡大メタレベルコンパイルチェッカー (" スタンフォードチェッカー ") Linux における 2000 以上のバグの検出初期バージョンの Linux における数百のバグの公表 Linux コミュニティによるほとんどの欠陥の修正当社の技術を求める要望が殺到継続する Linux 作業 :2000 以上のバグの検出無料サービスを提供する Linuxbugs サイトの作成 150 以上の顧客 -- Juniper Synopsys Symantec nvidia PalmOne およびその他多数米国国土安全保障省の研究 -- 次世代解析技術の開発とオープンソースへの適用 scan.coverity.com FreeBSD Mozilla によるオープンソース関与の拡大 3

4 トピック 32 のオープンソースパッケージの品質とセキュリティに関する Coverity の評価方法 LAMP スタックおよび研究の対象となった他のパッケージとの比較この研究が開発コミュニティに公表された後の反応 4

5 サンプルバグ No. 1: リソースリーク Perl: perl/ext/storable/storable.xs scan.coverity.com の開発者が確認済み 5

6 サンプルバグ No. 2: 配列のオーバーラン php-src/ext/standard/ftp_fopen_wrapper.c off by 1 (1 つ違い ) エラー 6

7 Coverity のアプローチ : scan.coverity.com オープンソースパッケージを自動的にスキャンするためのインフラストラクチャ毎晩スキャンの使用 Coverity Prevent の使用結果を scan.coverity.com に自動的に送信始動 2006 年 3 月 6 日 32 パッケージ今後さらにパッケージを追加 7

8 8 パッケージ一覧の概要パッケージ一覧の概要 XMMS XMMS Samba Samba OpenLDAP OpenLDAP Gcc Gcc Xine Xine Python Python NetSNMP NetSNMP GAIM GAIM X ProFTPD ProFTPD MySQL MySQL FreeBSD FreeBSD WxWidgets WxWidgets PostgreSQL PostgreSQL Mplayer Mplayer Firefox Firefox TCL TCL PHP PHP Linux Linux Firebird Firebird Squid Squid Perl Perl Inetutils Inetutils Ethereal Ethereal SQLite SQLite OpenVPN OpenVPN Icecast Icecast Apache Apache Snort Snort OpenSSL OpenSSL Gnome Gnome Amanda Amanda

9 最初の実行結果比較のための主な評価基準として欠陥密度を選択発表する結果 : LAMP スタックの L および P 部分の詳細データパッケージ全体の傾向 LAMP スタック全体の比較データ 9

10 生の数字 L および P Linux PHP Perl Python バグ合計数システム / プロセスのクラッシュ予期しない動作メモリリークバッファオーバーラン

11 欠陥密度 - L および P パッケージ Linux 密度 ( コード 1000 行あたりのバグ ).33 PHP.49 Perl.18 Python.35 11

12 傾向 : 欠陥密度の基準 Distribution of Defect Densities in Open Source Packages Number of Packages >= Defect Density Range 12

13 比較 : LAMP 対基準 How does LAMP stack up? Defects per KLOC Perl MySQL Apache LAMP Average Linux Python Baseline PHP 13

14 PHP 値が最も高い理由 88 の FORWARD_NULL バグ ( 合計 205 中 ) 非標準アサーションによるフォールスポジティブ (10 のサンプルでは 3/10) 主な問題点コード内のいくつかの部分における NULL ポインタの不適切な取り扱い 14

15 例 15

16 16 考慮すべき他の要素考慮すべき他の要素欠陥欠陥密度密度 5,516 5,516 6,613 6,613 3,928 3,928 4,380 4, 以降の以降の経過経過期間期間 ( 日数日数 ) 保守担当者保守担当者数 272, , , , , ,192 3,171,631 3,171,631 コードの行コードの行数 Python Python Perl Perl PHP PHP Linux Linux

17 L および P の推定される相関関係経過期間対欠陥密度ほとんど完璧な相関関係古いプロジェクトほど欠陥が少ない LOC ( コード行数 ) 対欠陥密度相関関係なし最高密度は 419,192 の LOC を持つ PHP 最低密度は 495,100 の LOC を持つ Perl 保守担当者数対欠陥密度保守担当者数が多いほど欠陥密度が低い Python はこの限りではない今後の作業さらに大きなサンプルサイズでこれらの相関関係を調査する 17

18 欠陥の公表 2006 年 3 月 6 日欠陥データベースをオンライン化すべてのオープンソース保守担当者に発表を通知反応 18

19 5 日後確認済み ( 修正済み ) Linux PHP Perl Python システム / プロセスクラッシュ予期しない動作リソースリークバッファオーバーラン合計修正数 73 (3) 43 (0) 12 (1) 15 (1) (0) (0) 3 (2) 4 (2) 1 (1) 5 46 (36) 6 (0) 21 (12) 9 (0) 48 19

20 5 日後の勝者 Python 48 のバグを修正残りの 38 のバグのうち 23 は影響少とマーク付けされ修正に値しないものと判断 20

21 30 日後確認済み ( 修正済み ) Linux PHP Perl Python システム / プロセスクラッシュ予期しない動作リソースリークバッファオーバーラン合計修正数 87 (49) 32 (23) 31 (18) 39 (21) (7) 10 (6) 6 (6) 14 (3) (12) 3 (2) 5 (3) 1 (1) (44) 5 (2) 21 (18) 9 (2) 66 21

22 30 日後の概要 4,272 の欠陥を確認 2,594 の修正 2 のセキュリティ勧告 (X.org および NetBSD) 3 つのクリーンなパッケージ Amanda Python XMMS Amanda は初期の欠陥密度が最大 5 つのほとんどクリーンなパッケージ SQLite Ethereal Icecast Squid Samba 500 人以上の開発者が結果を見るために登録最新の結果は次のサイトを参照 scan.coverity.com 22

23 まとめオープンソース開発者は品質を重視している LAMP スタックの平均欠陥密度は 32 の OSS パッケージの基準を下回っている PHP には最大の欠陥密度がありその主な原因は NULL ポインタの不適切な取り扱いにある今後の作業パッケージの経過期間保守担当者数 LOC と欠陥密度との相関関係を調査する特定のバグカテゴリを詳細にわたって調査しアーキテクチャ上の機能と相関させる 23

共通フィルタの条件を設定する迷惑メール検知 (SpamAssassin) の設定迷惑メール検知 (SpamAssassin) とは.

共通フィルタの条件を設定する迷惑メール検知 (SpamAssassin) の設定迷惑メール検知 (SpamAssassin) とは. 目次はじめにサービス内容............................................................ 8 基本サービス.......................................................... 8 オプションサービス....................................................