予想外に、私たちは情報セキュリティの分野の専門家と相互に有益な協力ができることに気付きました。 アプリケーションコードの脆弱性を探している人は、無料のPVS-Studioアナライザーを使用して調査できます。 同様に、脆弱性が見つかった場合、当社のアナライザーは非常に人気があります。 PVS-Studioは、CおよびC ++で書かれたプロジェクトの研究に使用できます。
すべては「 PVS-StudioチームがTizenプロジェクトに取り組む準備ができている 」という公開レターで始まりました。これは、サムスン電子の関心を引き付けたいと考えていました。 Samsungは、Tizenオペレーティングシステムの信頼性とセキュリティに関心があり、このトピックに関連するさまざまな調査研究を行っています。 たとえば、ある企業が ISP RASで開発中のSvace静的アナライザーに1,000万ドル以上を投資しています。 このプロジェクトでエラーが見つかった場合、PVS-StudioアナライザーはTizen開発者にも役立つ可能性があると判断しました。
ところで、私の計算によると、Tizenで約27,000のエラーを特定して排除できます。 しかし、これは後で説明する別の話ですが、今のところは、次の計算でプレゼンテーションを見ることができます：RU： pptx 、 slideshare ; EN： pptx 、 slideshare 。
その後、Amihai Neiderman（ @AAAAAAmihai ）が私たちに連絡し、PVS-Studioアナライザーの機能に興味を持ちました。 Amihai Neidermanは1か月前にカンファレンスでTizen： Breaking Tizenオペレーティングシステムの脆弱性に関するレポートを発表しました。
私たちは彼と話をし、PVS-Studioアナライザーのライセンスを発行して、脆弱性検索の分野でさらに研究を進めました。 彼が私たちのアナライザーの助けを借りて脆弱性を見つけることが幸運であるかどうかはわかりませんが、誰もが勝つだけなので、試してはいけません。 Amihai Neidermanには、脆弱性が隠されている疑わしいコードを識別する新しいツールがあります。 幸運で脆弱性が見つかった場合、次のスピーチでPVS-Studioアナライザーについて言及する理由があります。 これは、私たちのツールにとって素晴らしい追加の広告になります。
そして、私たちに良い考えが起こりました。 それが以前に発生しなかったことは奇妙ですが、これは多くの良い考えのために頻繁に発生します:)。 そのような協力は、脆弱性の調査に従事している他の専門家と開発されるべきです。
この記事の読者がパブリックセキュリティの専門家であり、脆弱性を検索している場合、彼は私たちに手紙を書いてPVS-Studioアナライザーのライセンスを取得できます。 さまざまなプロジェクトの検証を支援し、通常はサポートを提供します。 脆弱性が見つかった場合、研究者が出版物またはスピーチで私たちに言及していれば、研究者に感謝します。
ライセンスとサポートの取得を希望する場合は、セキュリティ問題に関与していることを確認し、たとえば記事を書くなどの公共活動を行う必要があります。 ただし、これはコミュニケーションの過程で明らかになると思います。 このトピックに興味のある方は、support [@] viva64.comまでご連絡ください。
アナライザーのすべての警告が、セキュリティの観点から調査されるべきエラーを明らかにするわけではありません。 たとえば、警告V665が脆弱性の検索に役立つとは考えられません。 ただし、このような警告は簡単に無効にでき、興味深いアナライザーメッセージのみを調べます。 そして、上記のように、私たちはどんな質問でもあなたを助ける準備ができています。
ご注意 以前は、アナライザーを脆弱性を防止するツールとして位置付けていませんでした。 よくある間違いを見つけることについて記事を書きました。 プログラマーに、PVS-Studioをタイプミスやその他の間違いを見つけるためのツールとしてだけでなく、多くの脆弱性を防ぐためのツールとして認識してもらいたいと考えています。 PVS-Studioアナライザーは、CWEに従って分類された多くのエラーを検出します（ 例 ）。 特定の状況では、CWEがCVEに変わる場合があります。 したがって、プログラマはPVS-Studioを使用して、コードからエラーを排除するだけでなく、開発コストを削減するだけでなく、多くの脆弱性を防ぎます。
参照：