Agências norte-americanas publicam princípios para desenvolvimento de produtos security-by-design

A CISA anunciou a publicação de um conjunto de princípios para o desenvolvimento de produtos security-by-design e security-by-default. O terceiro pilar da Estratégia Nacional de Cibersegurança, publicada em março, intitulado “shaped market forces to drive security and resilience”, identifica que, em primeiro lugar, a responsabilidade em matéria de segurança deve ser transferida da utilização de produtos de segurança para o desenvolvimento; em segundo lugar, o poder de aquisição federal vai ser utilizado para incentivar esta mudança. 

Previamente à publicação da Estratégia, Jen Easterly, diretora da CISA, fez um discurso onde observava que a insegurança se normalizou e que atualmente o ónus está no utilizador para tornar os produtos menos arriscados. No seu discurso disse que devem ser feitas mudanças, com produtos construídos com princípios de security-by-design e security-by-default. Afirmando que o governo tem dois incentivos para o garantir: regulamentos e poder de aquisição federal. 

Agora, numa colaboração entre a CISA, a NSA, o FBI, e agências de segurança estrangeiras (Austrália, Canadá e Reino Unido) foi publicado um conjunto de princípios que os developers devem aplicar para concretizar esses objetivos. Os princípios reconhecem que não vão impedir todas as violações e, provavelmente, vão aumentar os custos de desenvolvimento, melhorando, contudo, a cibersegurança do país e reduzindo custos contínuos em manutenção e correção. 

No topo da lista de princípios de design está a utilização de linguagens de programação ‘memory safe’, pelo que, de acordo com Jen Easterly, cerca de dois terços das vulnerabilidades conhecidas surgem neste âmbito. “Certas linguagens de programação mais notoriamente C e C++, não têm os mecanismos para impedir que os developers introduzam estas vulnerabilidades ao seus software. Ao mudar para linguagens de programação ‘memory safe’, como Rust, Go, Python e Java, essas vulnerabilidades podem ser eliminadas”, disse.

Outros princípios incluem a utilização de uma base de hardware segura, componentes de software seguros, consultas parametrizadas para evitar ataques de injeção de SQL e testing SAST e DAST.  

Já o princípio de security-by-default indica que ‘hardening guides’ devem ser substituídos por ‘loosening guides’ que expliquem quais mudanças os utilizadores devem fazer, enquanto listam os riscos de segurança resultantes. “As agências autoras acreditam que o desenvolvimento de roteiros escritos e suporte executivo que priorizem essas ideias nos produtos mais críticos de uma organização é o primeiro passo para mudar para práticas seguras de desenvolvimento de software”. 

Mas não cabe apenas ao developer adotar voluntariamente esses princípios, pelo que os clientes são incentivados a insistir na compra de produtos comprovadamente secure-by-design e secure-by-default. “Os departamentos de IT devem ser capacitados para desenvolver critérios de compra que enfatizem a importância das práticas Secure-by-Design e Secure-by-Default”, disse a CISA. Além disso, “devem ser apoiados pela gestão executiva ao aplicar esses critérios nas decisões de compra”.