重访Saltzer与Schroeder原则：SolarWinds与Log4j的安全回顾分析
软件工程
2022-11-07 v1
摘要
Saltzer与Schroeder的原则旨在为计算机系统的设计带来安全性。我们调查了SolarWinds Orion更新和Log4j，以揭示遵守这些原则本可缓解其中嵌入漏洞的交叉点。未被遵守的通用原则包括\emph{故障安全默认}、\emph{机制经济性}、\emph{完全中介}和\emph{最小特权}。然后我们探索了关于面向开发者的安全软件开发干预的文献，以识别可用于分析的工具和框架，从而有助于改进对这些原则的遵守。我们聚焦于代码访问的系统级视图、检查访问路径，并通过安全库以及针对功能性的适当安全任务列表来辅助应用程序开发者。
引用
@article{arxiv.2211.02341,
title = {Better Call Saltzer \& Schroeder: A Retrospective Security Analysis of SolarWinds \& Log4j},
author = {Partha Das Chowdhury and Mohammad Tahaei and Awais Rashid},
journal= {arXiv preprint arXiv:2211.02341},
year = {2022}
}