Zoncolan:Facebook如何从1亿行代码中捕捉漏洞

Facebook 的隐私和安全跟踪记录算不上好,尤其是考虑到其很多重大过失都是本可避免的情况下。但要守护数亿用户和巨大的平台,要从该公司上亿行代码中找出每个漏洞真不是件容易的事。因此,Facebook 的工程师从四年前就开始构建定制评估工具,不仅检查已知漏洞类型,还可在 30 分钟内完全扫描整个代码库,帮助工程师在正式上线前找出各种调整、修改或主要新功能中的问题。

该平台名为 Zoncolan,是一款静态分析工具,能够映射代码库行为与函数,查找单个分支及程序不同路径互操作中的潜在问题。这么大规模的代码库,纯靠人工审查那无尽的代码修改是不现实的。但静态分析伸缩性绝佳,因为其能设置关于不良架构或代码行为的 “规则”,自动扫描系统以找出此类漏洞。堪称一劳永逸。理想状态下,该系统不仅标记潜在问题,还能为工程师提供实时反馈,帮助他们学习如何消除隐患。

Facebook 安全工程经理 Pieter Hooimeijer 称:工程师每提交一次代码库修改,Zoncolan 都会在后台执行扫描,扫描结果要么直接报告给提交修改的工程师,要么标记问题并报告给当班安全工程师。所以,基本上该系统每天都会执行数千次,2018 年里共发现了约 1,500 个问题。

这是迄今为止已知暴露识别中最有价值的东西。但仍未覆盖全部。

——David Kennedy,TrustedSec

静态分析工具本身并不能发现新型漏洞,只能根据已设定规则捕获已知漏洞。但他们在持续捕获同类型错误上堪称尽职尽责老黄牛,还能从单条新规则回溯查找出一系列漏洞。而且不止 Facebook 在用静态分析,安全社区和更广大的开发产业也广泛使用静态分析工具。但 Hooimeijer 指出,Zoncolan 因定制用于全面映射 Facebook 特定代码而尤其有效。Hooimeijer 称,3 月份 Facebook 披露自身意外明文存储了数亿用户密码,在此之前,该公司已向 Zoncolan 馈送了一条关于该漏洞的规则,扫描代码库以查找潜在类似问题。还真找到了一些。

关于此事件,Hooimeijer 评论道:

要是发生在四年前,我们就不得不马上组织一大批安全工程师,人工梳理代码,查找其他问题。现在,我们用 Zoncolan 确保代码库里没有其他类似问题。在此事件中,我们创建的新规则切实找出了类似问题。

其中,扩展了 Zoncolan 检测能力的新规则,源自 Facebook 内部资源,包括该公司的漏洞奖励项目。

与查找普通设计及性能漏洞的通用静态分析工具不同,Zoncolan 拥有专为追捕安全漏洞而特别定制的方法。该工具还专注可识别数据流及数据模式,作为削减静态分析典型误报的一种方式。另外,Facebook 按自己意愿定制系统的做法也不是仅此一家;谷歌也有自己的定制静态分析工具,评估本公司那巨大的 20 亿行代码库。

企业事件响应咨询公司 TrustedSec 首席执行官 David Kennedy 称,拥有良好软件开发生命周期的公司都有源代码分析器,确保能够在投入生产之前筛查出暴露。大多数成熟的公司都会利用静态代码分析器,因为这是目前为止在已知暴露识别中最有价值的。但静态代码分析器仍未覆盖全部。

Kennedy 指出,Zoncolan 这样的工具无法发现导致 9 月 Facebook 3,000 万账户数据泄露的权限问题。

源代码分析器发现不了这样的问题。

过去几年来 Facebook 曝出的很多重大问题都是策略性隐私问题,与偶然的代码漏洞无关。

Hooimeijer 也认为 Zoncolan 不是万灵丹。但他表示,鉴于 Facebook 对该平台的投入,希望此工具的某个版本终将开源,供其他公司企业使用。令 Zoncolan 可高效搜寻 Facebook 代码漏洞的特性,可以通用化,用于打造适用面更广的工具。但想要适用 Facebook 之外的多样化环境,开源版本还需置入灵活性。

Facebook 于 2018 年开源的 Python 代码检查器 Pyre,就是迈向此目标的一步。该工具不具备 Zoncolan 的完整视野和安全焦点,但确实可以代表 Facebook 计划发布的那类资源。

我们为此投入良多,其轨迹就是:Python 版 Zoncolan。我们想在 Facebook 之外分享其令人惊叹的能力。

安全社区总是欢迎更多高品质开源工具涌现的。但 Facebook 先得动用这种防御手段捕获用户安全问题。

Pyre地址:

https://pyre-check.org/

上一篇:Apple越狱ios12.4 发布后“意外解开”旧的漏洞

下一篇:调查:网络安全已成为美国政府的首要工作