◆甘清云

浅谈应用软件安全编程

◆甘清云

（中国直升机设计研究所 天津 300300）

应用软件在编程实现时往往对功能和性能考虑得比较全面，但是对软件的安全性考虑明显不足。文章介绍了应用软件在编程方面存在的常见安全问题和改进的措施。

应用软件；安全编程

随着软件工程不断发展，开发出满足功能和性能要求的应用软件正变得越来越容易。但是，在网络安全形势日趋严峻的今天，要开发出安全性足够高的应用软件已不是一件易事。本文介绍了应用软件在编程方面存在的常见安全问题和改进措施。

1 应用软件安全编程

应用软件安全编程顾名思义就是指在应用软件编码时充分考虑到安全性需求或要求，从而达到提升应用软件安全性的目标。

为了提高软件开发人员的安全开发能力，国内有关机构推出了注册信息安全开发人员（CISD）、注册软件安全专业人员（CWASP CSSP）、注册软件安全开发人员（CWASP CSSD）等培训认证。

2 应用软件编程常见安全问题

（1）身份鉴别方面

在身份鉴别方面，通常容易忽视的一些问题主要有：没有对鉴别失败的次数进行限制；执行重要或者不可逆操作之前没有再次进行身份鉴别；一次身份鉴别后进行长时间的通话，没有周期性重新进行身份鉴别；身份鉴别过程可能会被绕过；依赖不可靠信息进行身份鉴别；验证数字证书不全面；处理身份鉴别的过程中泄露多余信息。

（2）口令安全方面

在口令安全方面，主要存在的一些问题主要有：虽然采用了强口令，但是口令的复杂度不满足安全策略要求；……