Come metodologia di test white-box, la revisione del codice sorgente viene utilizzata per identificare vulnerabilità in aree in cui le tecniche di test black-box o gray-box sono difficili da rilevare o falliscono, come pratiche di codifica non sicure, problemi di crittografia, eccezioni improprie ed errori non sicuri o potenziali problemi logici. In parole semplici, la revisione del codice sorgente si concentra sui dettagli di implementazione del codice e sui principi che ne regolano l'esecuzione. Questo approccio è particolarmente adatto per una revisione completa del codice, soprattutto per quanto riguarda difetti e anomalie in scenari atipici. Inoltre, se combinato con il penetration testing, può affrontare efficacemente la maggior parte delle vulnerabilità delle applicazioni, un aspetto particolarmente rilevante quando si ha a che fare con tecnologie emergenti come il 5G. 

 

In una rete 5G, i componenti sono risorse hardware e software, controllate dal codice sorgente scritto dagli sviluppatori per supportare la trasmissione dei dati e la comunicazione di rete. Il Software-Defined Networking (SDN), la Network Function Virtualization (NFV), il Network Slicing e molte altre innovazioni del 5G sono il risultato di questo codice sorgente. In questo contesto, la revisione del codice sorgente è una best practice del settore per garantire la sicurezza informatica del software ed è ampiamente adottata e praticata da molti fornitori di software. Basandosi sulla specifica CERT e sulla Common Weaknesses Enumeration (CWE), ZTE ha sviluppato una serie di Secure Coding Specifications come propria pratica standard di revisione del codice sorgente, ancora più rigorosa e stringente. Inoltre, viene utilizzata come misura obbligatoria per rilevare e mitigare i rischi.

 

In breve, la revisione del codice sorgente è un processo che combina controlli manuali con strumenti automatizzati. Durante il processo di sviluppo, svolto dai team di prima linea, la revisione del codice, i test di accettazione e i test di sistema sono essenziali per mitigare i rischi. Gli strumenti automatizzati di revisione statica del codice offrono un modo efficiente per analizzare il codice sorgente. Integriamo strumenti di analisi statica del codice nel nostro ciclo di vita di sviluppo per aiutare gli sviluppatori a identificare difetti o vulnerabilità. Con l'aiuto di una revisione manuale del codice, che è anche un passaggio obbligatorio prima della finalizzazione del codice sorgente, possiamo identificare la maggior parte dei falsi positivi e dei falsi negativi. 

Durante la revisione manuale del codice, non è facile individuare gli errori semplicemente leggendolo; è necessario anche eseguirlo e analizzarlo con maggiore attenzione. Il processo di revisione del codice di ZTE si compone di diverse analisi. Si inizia verificando se la progettazione complessiva rispecchia le specifiche del progetto e si esamina se quella sezione di codice funziona esattamente come previsto dagli sviluppatori, se la sua coerenza è garantita e se i principi di sicurezza by design e by default sono stati rispettati.

Una revisione indipendente del codice sorgente, condotta da una seconda linea di difesa, rappresenta un'ulteriore misura di sicurezza. Questa include verifiche manuali, riga per riga, e l'utilizzo di strumenti automatizzati per valutare ulteriormente la qualità del codice. Il dipartimento di sicurezza di ZTE e il suo laboratorio di cybersicurezza costituiscono questa seconda linea di difesa.

 

Gli sviluppatori hanno la responsabilità di analizzare se tutte le caratteristiche previste vengono mantenute in caso di errori imprevisti durante l'esecuzione. Eseguono inoltre test e inseriscono tutti i valori possibili per verificare che non si verifichino errori che potrebbero essere sfruttati da un malintenzionato. In caso di interruzione del servizio, gli sviluppatori verificano se il codice è resiliente anche a un attacco imprevisto.

Abbiamo superato brillantemente le analisi condotte da diverse organizzazioni esterne. 

All'inizio di quest'anno, grazie alla proficua collaborazione con i leader del settore della sicurezza informatica, il codice sorgente del sistema operativo per router di nuova generazione di ZTE (ROSng), che offre un potente supporto per la rete di trasporto 5G in termini di protocolli di rete, è stato esaminato da una delle principali aziende del settore presso l'European Cybersecurity Lab di Bruxelles.

Nel frattempo, la piattaforma Elastic Network Automation Platform (ZENAP) di ZTE, che supporta l'implementazione in ambito R&D, la distribuzione commerciale, il provisioning, la gestione e la manutenzione di applicazioni SDN/NFV/5G/IoT, è stata sottoposta a una revisione da parte di NETAS presso il suo laboratorio italiano di Roma. I risultati dei test hanno spinto il team R&D a ripensare la progettazione e lo sviluppo della sicurezza. In qualità di fornitore leader impegnato nel miglioramento continuo dei prodotti, ZTE sfrutta tutti i risultati delle valutazioni, sia interne che indipendenti, per perfezionare costantemente le proprie pratiche di sviluppo.

 

La sicurezza informatica è da sempre la massima priorità per la ricerca e sviluppo di prodotti e per l'erogazione di servizi di ZTE. Pertanto, l'azienda si impegna costantemente a introdurre metodi innovativi, combinando la ricerca e sviluppo con la collaborazione esterna di partner leader del settore, al fine di migliorare ulteriormente la sicurezza informatica. L'ecosistema delle telecomunicazioni comprende diverse figure professionali uniche e insostituibili, tra cui sviluppatori, analisti e altri professionisti che lavorano insieme per garantire un codice sorgente sicuro. Una rete sicura richiede la collaborazione di tutte le parti interessate per innalzare gli standard di sicurezza informatica, e ZTE si impegna a promuovere una collaborazione e una comunicazione più ampie per costruire un futuro digitale migliore per tutti.