The Way To An Apex ~ 登峰之路

2008-07-23

企業採用開放源碼軟體的安全隱憂

摘:

安全業者：企業採用開放源碼軟體要注意安全隱憂
文/陳曉莉 (編譯) 2008-07-22

被檢驗的11種開放源碼產品，發現總計有2.2萬的Cross-Site Scripting漏洞，以及1.5萬的SQL Injection漏洞。

軟體安全公司Fortify在周一（7/21）發表其開放源碼安全研究報告指出，被企業廣泛採用的開放源碼套裝軟體讓使用者曝露在重大且不必要的營運風險中。

Fortify與應用程式安全顧問Larry Suto共同檢驗了11種最普及的Java開放源碼套裝產品，並評估開放源碼社群提供給使用者的安全意見，以及測試其安全開發程序，包括與開發人員互動以及檢視相關安全策略的相關文件，以及利用Fortify的安全分析工具偵測這些產品不同版本的安全性，並在特定程式碼區域執行手動偵測。

被檢驗的11種開放源碼產品分別是關聯性資料庫Derby、物件關係對應工具Hibernate、CRM網站應用程式Hipergate、電子商務網站應用程式OFBiz、內容管理OpenCMS、網站應用程式架構Struts，以及涵蓋Geronimo、JBoss、JOnAS、Resin及 Tomcat等五種應用程式伺服器等。

Fortify利用Java Open Review（JOR）偵測上述產品不同版本進行安全漏洞檢視，發現總計有2.2萬的跨站攻擊漏洞（Cross-Site Scripting）以及1.5萬的資料隱碼漏洞（SQL Injection），此外，Fortify亦發現許多開發人員因為沒有採用安全開發周期的相關工具，導致錯失偵測及修補這些安全漏洞的關鍵機會。

該份報告揭露了上述產品的漏洞密度，顯示漏洞密度最底的前五項產品依序是JBoss、Hibernate、Ofbiz、Strusts及Geronimo，而漏洞密度最高的則是Hibernate。

......等等.

--------------------------------------------------------------------------------

有許多資訊相關的朋友們似乎都有一種很有趣的情節 --- 自由軟體(Open Source Softeware, OSS)偏好.
有些甚至會嚴重到, 似乎使用了OSS就油然而生出一種莫名其妙的卓越感,
我一直沒有辦法猜測, 感覺出這卓越感跟OSS有甚麼關係/連結?

OSS, 很棒, 這是無庸置疑的, 尤其在這全球不景氣的今天(尤其是我個人),
但是, 若排除了價格上的考量, OSS存在著一些嚴重的問題, 尤其是安全問題(Security), 效能(Efficiency), and 整合性(Integration).

這篇報導所瞄準的就是Security, 而疏忽Security的企業卻往往遭遇重大的損失, 若將這樣的損失聯結到企業財務, 似乎也是變相地增加了使用OSS的成本.

因此, 是否使用OSS一直都是個有趣的蹺蹺板問題,
答案是???

我的建議是:
"只要你行, 你敢用, OSS將會是你最好的選擇 !!~"

2008-07-14

回應: 討厭貧窮

本篇文章引用自此

痛恨貧窮, 所以我有動力.
這不是仇恨? 這是原力!

誰讓我們誕生在這世界的時候剛剛好落在這貧富的機率裡,
這是上天設定的
在這生命的遊戲中, 慶幸著自己還有一點思想, 活動也正常些,
遊戲得自己玩

就這一次機會沒有重來
無法按Reset鍵, 但是可以關Power

嚴謹踏出每一步
This a WAR

我要玩得最精采
我要玩得全破關
我要玩得不遺憾

Come~
Play together !!

21

決勝21點, 描述著一群MIT學生憑藉著其優異的數學天賦在LasVegas挑戰賭博遊戲-21點(Royal Match 21).

說是賭博?
轉個角度, 這本來就是一個充滿數學機率的遊戲.
MIT的天才也是人, 人總會希望升官發財, 擁有上天賜與的恩惠為什麼不用?
不過, 從電影中發現了這事實---人外有人, 天外有天.

這世界是很公平的, 不論天資如何, 一定得努力付出才可能會有收穫.
有人在想盡辦法犯罪, 取巧;
一定會存在有人拼死也要揪出罪犯, 防堵作弊.
Anything has its rules.

"Counting cards isn't illegal"---From "21".
"人為財死鳥為時亡",
的確,算牌算算好玩就算了, 要去從中獲利真就是拼命, 好歹賭場可是營利事業呢!!

我很喜歡劇中的一段話:

Always account for valuable changes --- 有價值的改變總要付出代價

如果我有如電影中MIT天才們這樣的天賦,
我會怎麼運用這機智呢?

2008-07-11

第一次我做到了

今天是重要的一天, 這一年帶的郭漢輝學弟今天口試通過了, 取得了畢業資格
這也是第一次完整地指導完碩士論文,
從指定題目 "Applying SHA-HCLY Evolution Criterion to Improve SHA-256 Security using Genetic Algorithm",
引導分析題目, 討論與最後的修正等等....
直到今天確認學弟完成了這項研究站上口試的講台, 成功地取得了口試委員一致好評.

葉老師, 謝謝您, 或許這就是您一直要教我的,
今天我做到了, 謝謝您.

當然, 這只是第一步
持之以恆, 再出發.

2008-07-09

請記得你對我的承諾

今天接到電話被告知更改成績的公文通過了

那一天你哭啼啼地透過系辦打給我
述說著你是多麼地努力申請轉系多麼認真地學習企圖準時畢業參加八月的國家考試

可是每當我唸及你的名字總是沒有人應答
一念之差導致前功盡棄

或許是我人好
堅持著快樂的課本該是快樂的
卻失去了你對我的尊重

遊戲是有規則的不是這樣玩的

封封Email從抱怨, 說理到認錯, 後悔
敲開了我鐵石心腸
一切的利弊得失放在天平的兩端
我思索著...

讓一個青年擁有希望是最大的收穫

第一次
上呈公文要求更改已送出的成績為你

請務必記得你對我的承諾:

"一定要多多關懷與幫助需要幫助的人
所為之任何決定將關乎當事人之ㄧ生, 更應小心謹慎, 不容一絲差錯"

2008-07-08

翱翔萬里的餞行---凡妮莎鄉村廚房VANESSA

晚上CNSLab又再度很多人一起開開心心地聚餐聊天
其實也沒有很多, 就是三個要畢業的碩二學弟妹與學長, 學姐們一起去V~~享受美食慶祝

恭喜小強家明佳君碩士畢業了
嘿嘿或許不久之後大伙又默默地在新竹齊聚囉

只是屆時會很難抽出空見見面說說天南地北

佳君選的這間真是讚, 好吃分量又多,
看看我們吃了甚麼吧~~

恭喜你們要畢業了↓