セキュリティ要求分析

■ソフトウエアセキュリティとは？
セキュアな
　→脆弱性がない（セキュリティ機能が入っていればよいわけではない）
　　じゃ、脆弱性をなくすには？
　　　　セキュアプログラミング
　　　　セキュリティテスト　　　　→従来の開発と同じ？
　　　　PDCA
　　ソフトウエア開発と同じ仕組みでセキュリティを上げられるか？
　　　　→従来手法でよければ、こんなにセキュリティで問題になるわけがない

　　　→セキュリティは、非機能要求だから：機能要求より難しい部分がある
　　　　　例：テスト
　　　　　　　機能要求なら、同値分割、境界値分析ができる
　　　　　　　→SQLインジェクションは？？



■セキュリティの問題を、工程ごとにまとめると・・・

・要求仕様
　機能にない、ステークホルダーから聞き出せない、悪意を持った攻撃者の要求？を
　聞き出す／洗い出すのは、困難

・設計
　セキュリティ要求を満たす設計手法は？

・プログラミング
　脆弱性を生じないプログラミング技法は？

・テスト
　安全でないことが確認できるか？
　→新たに生み出された脆弱性に対して、テストできる？

---

■セキュリティ要求分析の種類

　　CC（ISO/IEC１５４０８）
　　SQUARE
　　SDL
　　脅威モデリング
　　UMLの拡張

UMLSeq
　UMLのセキュアシステムの開発のための拡張
　セキュリティのステレオタイプを用いる

SecureUML
　RBACに基づくUMLモデル定義

SDL（Secure　Development　Lifecycle)
　マイクロソフトのセキュアな開発手法
　　　セキュリティPush
　　　　　：１ヶ月ぐらいひたすらセキュリティチェック
　　　脅威モデリング
　　　　　：DFDをもちいた脅威抽出
　　　　　　Strideによる脅威分類
　　　　　　　　S　なりすまし
　　　　　　　　T　改ざん
　　　　　　　　R　否認（商品を買ったのに買わないという等）
　　　　　　　　I　情報の漏洩
　　　　　　　　D　DoS攻撃
　　　　　　　　E　権限昇格
　　　　　　脅威ツリー、DREADによる脅威評価
　　　　　　　　D　潜在的な損害
　　　　　　　　R　再現可能性
　　　　　　　　E　攻撃利用可能性
　　　　　　　　A　影響ユーザー
　　　　　　　　D　発見可能性
　　　など→対策はない

Qtがマルチプラットホームで動く＝KDEがスマートフォンで動くってこと？

さっき、QT Conference Tokyo 2010があったんだけど、
午前中、やたらと、

Qtがマルチプラットホームで動く、
Linuxでも、WindowsでもMacでもSymbianでも、MeeGoでも（ってことはスマートフォンでも）
っていう話をやっていたわけ。

ま、そのときは、ふーんって聞いてたんだけど、

で、お昼は、お弁当が出た（豪勢！ちなみに、３時には、コーヒーとお菓子も用意してあったよ！
いま、お昼に配られたお茶が横にある。これから開けて飲む予定）

で、最後のセッションはぶっちして、あるところに移動。
５：３０になったので、３階で「晩ご飯セット」５００円を食べてた最中に思ったんだけど
（そこは５：３０にならないと、夜再開しないとこなの。
　お昼、お弁当が出たので、その浮いたお金で晩ご飯セット）

Qtがマルチプラットフォームで動く
＝Linuxで開発したQtのアプリが、スマートフォンで動く？？
＝Linuxのデスクトップ環境KDEが、ひょっとして、スマートフォンでも動くのか？？

いや、KDEが、スマートフォンで動いたら、インパクトすごいだろ・・・
もちろん、画面サイズなど、一部手直しは、いるだろうけど・・・

なんか、一部の熱狂的ファン？は、QtをAndroid上で動かそうとしてるらしいし
（公式のプロジェクトではなく、あくまでも有志がやっているようだ・・・）

そーなの？どーなの？？

Qt、すごいかも

　きのう、MeeGo Seminar Winter 2010にいってきて、そこで、
「Qt UI開発技術最新動向」
っていうのを聞いてきた。

Qt（きゅーと）って、むかし、Trolltechがやってた、あのQt（きゅーてぃ）のことみたい。
KDEプロジェクトでつかわれているっていってたから。

でも、むかしのとちがって、超簡単に画面がつくれそう。
っていうのも、Qt４．７から、QtQuickっていうのが入ったらしく、
QMLっていう言語（CSSで指定するの＋JavaScriptでロジックを書くみたいなかんじ。コンパイル不要）
をつかって、画面を簡単に記述できるから。

もちろん、Qt本来の特徴、つまり、C++むけのUIのオープンソースフレームワークであることは」かわらず、MeeGoの一部でもあるけど、他のプラットフォームでも動くという特徴はかわらない。

詳しいことは、もちょっといろいろ聞いてから書くことにする。

12月9日(木)のつぶやき

20:08 from web
Qtって、最近は「きゅーと」って言うんだね！たしか、むかし、「キューティー」って言ってたと思うけど・・・
by xmldtp on Twitter