鉴释陈新中：源代码安全在物联网时代的重要性

随着 5G 时代的步步走近，互联网正加速向物联网升级，从路由器、语音信箱到智能家电、工业设备，越来越多的实体物品通过互联网数据更加紧密地联结。但随即而来的就是信息安全问题，其中代码缺陷问题使得软件系统安全更加脆弱，就在今年 6 月，有研究人员发现戴尔预装的 SupportAssist 组件存在 DLL 劫持漏洞，全球超过 1 亿台设备面临网络攻击风险。也正因如此，代码缺陷分析的必要性愈加凸显。

本期我们采访到了鉴释联合创始人兼首席技术官陈新中，邀请他就物联网时代的软件安全状况及如何通过静态分析提高源代码的安全与质量等问题展开分享。据了解，鉴释成立于 2018 年，其命名源于圣剑传奇“EXCALIBUR”，它是力量和目标的象征。鉴释通过使用高级静态分析技术帮助客户降低成本，提高生产力，并确保其软件开发人员具备相应的能力以开发更好、更可靠的软件，提高代码的审计、评估和缺陷检测的速度和准确性。

陈新中，鉴释联合创始人兼首席技术官。他是高性能计算和嵌入式系统中高级编译器和处理器优化方面的技术专家，是公认的全球编译器优化技术领域的早期先驱者。

以下为采访实录：

记者：您是一位资深的软件缺陷领域的专家，您能介绍下您的技术背景和工作经验吗？

陈新中：我本人的技术背景涵盖很多领域，包括系统优化、产品研发。我曾先后就职于美普斯（MIPS）、硅图（SGI）和英特尔（Intel）等公司。在 SGI，我参与了高性能计算（HPC）项目；在英特尔我则担任英特尔-清华大学联合实验室主任，致力于先进移动计算技术的研究，同时我也是英特尔实验室嵌入式系统的研发总监。对大规模程序分析以及如何将其应用于安全缺陷管理的深刻理解，再加上丰富的软件开发经验，我非常明确分析源代码时需要寻找什么，而这也是鉴释所从事的研究方向。在过去三十多年的职业生涯中，我累计申请了 20 多项专利，在众多技术和学术期刊上发表多篇论文。

记者：随着物联网技术的兴起，它在各个行业的运用越来越广泛，安全威胁与以前相比发生了哪些变化？

陈新中：物联网环境包括不同大小的设备和产品，其产品在设计和技术层面的复杂程度各不相同。通常，物联网系统由许多装载非常原始操作系统（OS）的“受限型设备”组成，且缺乏保护。在物联网中一切都是互相关联的，设备之间通过数据流动实现通信。很多时候，数据在没有严格安全协议的保护下，在设备之间流动。而且有些时候数据由于未被加密，很容易被攻击者拦截利用。在物联网领域，数据泄露非常常见。如果你有两个互相通信的系统，它们极有可能具有不同的安全级别，一个系统的安全级别更高，而另一个的安全级别更低。在这种情况下，物联网中的攻击者寻找并识别最薄弱的环节，通过攻击安全级别更低的系统来获取高安全级别设备的访问权限。去年，为了攻击加州理工学院喷气推进实验室的系统，一名黑客只需要黑入与此相连接的低成本树莓派设备，便轻易地获取了 500 兆字节的机密数据，显然，这些树莓派设备并没有通过全面的安全审查。如果数据泄露能在加州理工学院发生，那么它在任何地方都可能发生。

2019 年 7 月，据 Armis 的安全研究人员透露，11 个被称为“Urgent11”的漏洞感染了一系列设备。这些漏洞导致 VxWorks 出现问题，VxWorks 是一种实时操作系统（RTOS），是常用于家庭安全摄像头、智能仪表、可穿戴装备等物联网设备中的小型内存占用嵌入式操作系统。这些漏洞存在于 VxWorks 实时操作系统的 TCP/IP 网络协议栈中，用于管理设备连接网络和连接本地网络中其他设备。这将影响到超过 2 亿台物联网设备。

记者：企业在开发物联网产品的代码时，如何确保避免关键性的漏洞威胁？

陈新中：对于试图尽快将产品推向市场的制造商而言，安全并不总是最重要的。在某些情况下，设备仅被配置一次，并且出于功率及成本考虑而不接受补丁或更新，以此来防止病毒入侵等安全问题隐患。根据 IDC 的预测报告，截至 2025 年世界上将有多达 416 亿个互相连接的物联网设备，而在这些设备上运行的大多数嵌入式固件都是不安全且极易受到攻击的，这就意味着全球许多关键系统和数据都存在风险。以智能仪表为例，它们普遍将默认的密码写入软件中，通常而言，你可能认为它能够提高仪表对恶意攻击的敏感度，但是，如果您拥有多个智能仪表，并且所有的仪表都使用相同的默认密码，则攻击者无需花费太多时间就能破解该密码。一直以来，安全从未成为物联网发展的重点，但目前这个行业正在发生翻天覆地的变化，而采用质量第一的思维模式、秉承安全至上的设计理念对软件开发人员至关重要。

在物联网领域安全问题就更为复杂了，尽管开放连接基金会（OCF）等联盟试图建立开放统一的标准，但大多设备由于未采用共同的网络和编程方式而过于碎片化。大部分公司都开发了自己的专有系统，这是他们多年以来的运营模式。缺乏明确主导的统一标准，物联网是需要付出代价的，从制定统一标准的角度出发，目前仍处于大量修改的过程中。如果你选择遵从一个特定标准，这意味着你会被孤立于现在使用专用软件系统的传统物联网设备，如摄影机、仪表等。我相信开放统一的标准将在未来占主流地位，但这还需要我们很多年的努力。

记者：代码合规标准如 CERT 和 MISRA 有着怎样的重要性？为什么尤其在中国市场它们更加重要？

陈新中：来自世界各地的工程师和软件开发人员与美国 CMU 软件工程研究所等机构开展合作，共同识别软件漏洞和缺陷，并制定软件开发规则和指南来避免将产品和应用程序暴露于风险或恶意攻击。通过遵循为 C/C++/Java 制定的 CERT 等标准，你可以享受全世界开发人员的智慧结晶，因为他们已经事先替你全方位考虑了软件缺陷的问题。目前而言，已经存在一些针对特定类别的标准，例如 MISRA——一个为汽车行业开发的合规标准。值得注意的是，这些规则和指南都是在事件发生之后所制定的，对于尚未被黑客入侵的程序目前还没有已制定的规则。一个很好的例子是心血漏洞（HeartBleed），最常见的互联网数据保护层 OpenSSL 上有一个漏洞，它使原本受 OpenSSL 保护的信息能被轻易窃取。事实上，这个漏洞已经存在了很长时间，然而直至其被攻击修复前，没有任何工具能够发现它。心血漏洞后来被分类添加于高危安全漏洞数据库中。

在中国，互联网产品的上市速度需求巨大，产品上市速度越快，竞争优势就越大。遵循代码合规标准将保证您至少避免陷入基本和已知的漏洞。这一点极为重要，因为物联网软件开发通常使用 C 或 C++编程语言来完成，而这些编程语言非常容易因内存损坏而出错。

记者：为什么您觉得在中国源代码质量存在着很大的问题，鉴释爱科识(Xcalscan)是如何优化源代码质量的？

陈新中：虽然现在许多国际市场已经为系统开发生命周期（SDLC）建立了成熟的流程，中国市场相比而言不够成熟。为了更快地将产品推向市场，产品的安全和质量保证通常被牺牲。开发人员意识到程序的质量根本不可能按标准严格执行。除此以外，许多原本可用于设计部署的技术都没有经常使用。静态代码分析的工具使用太少了，我们应该更重视这一点，以确保更高的代码质量，标准合规性和更少的漏洞。

记者：与现有的解决方案相比，从技术层面，鉴释爱科识 (Xcalscan)有哪些优势？

陈新中：我们的核心优势在于我们使用最先进的深度编译器优化技术，能够在代码被编译完成前更好地理解应用程序的运行方式。我们开发了新的线性算法以改善分析时间和内存使用，帮助我们的解决方案进行更积极的分析。我们从整体的角度研究大型源代码数据库，而不是一次检查一个函数，这使得我们能以更高的精准度识别缺陷并在我们的检查结果中产生更少的误报。减少误报是我们许多用户非常关心的问题，因为这通常需要花费时间对每个结果进行手动检查。如果不从更广泛的分析范围查看源代码，就不会发现类似于心血漏洞（HeartBleed）的漏洞，与竞争对手相比，在 CERT 合规方面，我们也有着更高的精准度。

在未来，我们将着眼于提供个性化定制服务，帮助我们的客户自主制定规则来分析承载其业务核心数据的软件代码。同时，我们的行业目标是为软件开发社区培养质量第一的思维模式和安全至上的设计理念。

（原文出自搜狐，编辑：坤林）

点击了解更多鉴释产品及资讯！