华克斯信息-新疆源代码审计工具fortify

Fortify软件

强化静态代码分析器

使软件更快地生产

资源的

数据表

通过早期安全测试构建更好的代码

（PDF 260 KB）

学到更多

解决方案简介

使用Fortify SCA保护您的企业软件

（PDF 489 KB）

学到更多

试用软件

立即开始您的WebInspect试用版

学到更多

视频

Denim Group加强了Fortify的应用

（2.26分钟）

看视频

相关产品，解决方案和服务

应用安全测试

按需加强

应用安全即服务。

学到更多

软件安全

Fortify软件安全中心

管理整个安全SDLC的软件风险 - 从开发到和生产。

学到更多

DAST

强化WebInspect

自动化的动态安全测试工具，以查找和优先考虑可利用的网络漏洞。

学到更多

移动安全

移动应用安全

将您的移动堆栈从设备保护到网络通信到服务器。

学到更多

安全情报服务

威胁防御服务

发现并实施针对您的企业da威胁的有针对性的解决方案。

学到更多

应用安全

强化应用安全性

静态和动态应用程序安全测试，以便在利用漏洞之前查找和修复漏洞。

学到更多

应用安全软件

软件

使您的软件免受攻击。

学到更多

参与我们的应用安全社区

保护您的资产博客

获得IT安全洞察力，在世界各地的攻击者面前保护您的业务。

保护您的资产博客

安全研究博客

获得创新的研究，源代码审计工具fortify总代理，观察和更新，以帮助您主动识别威胁和管理风险。

安全研究博客

Protect724社区

加入HPE安全社区，共享，搜索，协作解决方案并获得反馈。

Protect724社区

Twitter上的HPE Security

获取关于混合环境风险的xin推文，并防御威胁。

Twitter上的HPE Security

LinkedIn上的HPE Security

与联系，并讨论混合环境中新威胁和风险的xin信息。

LinkedIn上的HPE Security

Facebook上的HPE软件

与同行和一起讨论如何使HPE软件为您工作。

Facebook上的HPE软件

Google+上的HPE软件

讨论如何使您的企业应用程序和信息为您工作的xin信息。

Google+上的HPE软件

HPE业务洞察

获得来自IT的战略见解，帮助他人定义，测量和实现更好的IT表现。

HPE业务洞察

Fortify软件

强化静态代码分析器

使软件更快地生产

“将FINDBUGS XML转换为HP FORTIFY SCA FPR | MAIN | CA特权身份管理员安全研究白皮书?

强化针对JSSE API的SCA自定义规则滥用

安全套接字层（SSL / TLS）是使用加密过程提供身份验证，机mi性和完整性的广泛使用的网络安全通信协议。为确保该方的身份，必须交换和验证X.509证书。一方当事人进行身份验证后，协议将提供加密连接。用于SSL加密的算法包括一个安全的散列函数，保证了数据的完整性。

当使用SSL / TLS时，必须执行以下两个步骤，以确保中间没有人篡改通道：

证书链信任验证：X.509证书指ding颁发证书的证书颁发机构（CA）的名称。服务器还向客户端发送中间CA的证书列表到根CA。客户端验证每个证书的签名，到期（以及其他检查范围，例如撤销，基本约束，策略约束等），从下一级到根CA的服务器证书开始。如果算法到达链中的后一个证书，没有违规，则验证成功。

主机名验证：建立信任链后，客户端必须验证X.509证书的主题是否与所请求的服务器的完全限定的DNS名称相匹配。 RFC2818规定使用SubjectAltNames和Common Name进行向后兼容。

当安全地使用SSL / TLS API并且可能导致应用程序通过受攻击的SSL / TLS通道传输敏感信息时，可能会发生以下错误使用情况。

证明所有证书

应用程序实现一个自定义的TrustManager，新疆源代码审计工具fortify，使其逻辑将信任每个呈现的服务器证书，而不执行信任链验证。

TrustManager [] trustAllCerts = new TrustManager [] {

       新的X509TrustManager（）{

...

  public void checkServerTrusted（X509Certificate [] certs，源代码审计工具fortify服务商，

                String authType）源代码审计工具fortify总代理

}

这种情况通常来自于自签证书被广泛使用的开发环境。根据我们的经验，我们通常会发现开发人员完全禁用证书验证，而不是将证书加载到密钥库中。这导致这种危险的编码模式意外地进入生产版本。

当这种情况发生时，它类似于从烟雾探测器中取出电池：检测器（验证）将仍然存在，提供错误的安全感，因为它不会检测烟雾（不可信方）。实际上，源代码审计工具fortify规则库，当客户端连接到服务器时，验证例程将乐意接受任何服务器证书。

在GitHub上搜索上述弱势代码可以返回13，823个结果。另外在StackOverflow上，一些问题询问如何忽略证书错误，获取类似于上述易受攻击的代码的回复。这是关于投piao建议禁用任何信任管理。

FortifySCA介绍  

支持对测试结果进行分类或划分，并分发给不同的人进行确认和修复。

·        

对工具和安全代码规则可以进行集中配置和管理，使分散在不同地点的测试机统一更新，提高了效率，保证了版本的一致性。

·        

支持将测试结果在企业内部进行发布，使开发人员，测试人员，安全人员和管理人员可以通过WEB浏览器进行查看和审计。实现多个部门之间的协同工作，加强对问题的快速反应，提高管理能力，提高工作效率。

·        

能够按用户和角色的不同来进行权限的划分，方便企业内各个团队的交流和沟通，同时保证了测试结果的保密性。