yoIni adalah praktik umum di kalangan pemrogram untuk menyalin dan menempelkan cuplikan kode dari forum T&J Stack Overflow yang populer untuk memecahkan masalah pengkodean mereka.
Namun ternyata kebiasaan malas ini memiliki resiko keamanan yang tinggi. KE kertas Berjudul «Studi Empiris tentang Kerentanan C ++ dalam Contoh Kode Sumber Kerumunan», itu menyoroti hal yang sama.
Kode yang disalin dapat mengakibatkan kerentanan serius
Penulis atau artikel meninjau lebih dari 72.000 potongan kode C++ yang diambil dari 1.325 posting Stack Overflow. Mereka menemukan 69 fragmen rentan dari 29 jenis yang berbeda.
Meskipun jumlah ini mungkin tidak terlihat banyak mengingat banyaknya proyek GitHub, 69 cuplikan rentan tersebut muncul di 2.589 repositori GitHub, yang mengkhawatirkan.
tidak semua orang peduli
Meskipun para peneliti mengambil sendiri untuk memberi tahu penulis tentang proyek GitHub yang terpengaruh, hanya sedikit yang memilih untuk memperbaiki kekurangan yang terdiri dari CWE (Common Weakness Enumeration) yang diketahui.
Penelitian ini bertujuan untuk menjelaskan bagaimana kode yang salah menemukan jalannya dari Stack Overflow ke GitHub, dan menggunakan kode tanpa meninjaunya dengan hati-hati dapat menyebabkan potensi kerentanan dalam perangkat lunak.
Untuk studi ini, tim memilih untuk fokus pada proyek berbasis C++. CWE yang paling sering ditemui adalah CWE-20 (validasi input salah), CWE-754 (Pemeriksaan salah untuk kondisi yang tidak biasa atau luar biasa), dan CWE-1006 (praktik pengkodean salah). (kalimat tidak lengkap)
Penyalahgunaan platform
Stack Overflow sebagian besar tentang pertanyaan dan jawaban. Banyak pengembang yang mengirimkan cuplikan kode sebagai solusi mungkin tidak memiliki pemahaman yang kuat tentang keamanan kode.
Oleh karena itu, tidak disarankan untuk menggunakan kode tersebut dengan asumsi ini. Lebih baik bagi pemrogram jika mereka mempelajarinya dengan cara yang sulit dan mengadopsi praktik pengkodean yang aman.
Tapi ada solusi untuk menggunakan kode stack overflow dengan aman
Melepaskan Stack Overflow tidak sesederhana itu bagi banyak developer, jadi peneliti telah mengembangkan ekstensi Chrome yang dapat membantu menentukan keamanan kode.
Saat menginstal ekstensi, itu memeriksa kode yang disalin terhadap basis data CWE dan memberi tahu pengembang jika potongan kode memiliki bug yang diketahui.
Pengembang ekstensi berencana untuk segera merilisnya. Kami akan memberitahu Anda segera setelah itu terjadi. Jadi hati-hati dengan ruang ini!
Baca Juga: Python Puncaki Daftar IEEE Bahasa Pemrograman Paling Populer