セキュアコーディング／セキュアプログラミングが流行らない理由

(Last Updated On: 2018年9月13日)ISO 27000（ISMS）をはじめ、セキュアコーディング／セキュアプログラミングを行いなさい、と推奨するセキュリティガイドラインが多くあります。2014年改訂のISO 27000に至っては、セキュアプログラミングが広く普及したのでセキュアプログラミングを行うとする記述に簡素化しています。1 しかし、広く使われているフレームワークでさえセキュアコーディング／セキュアプログラミングをサポートする機能が無かったり／不十分でだったり、現状は到底普及している、とは言えないです。辛うじて普及しているかも？と言えるのはセキュアコーディング／セキュアプログラミングでは枝葉末節にあたるコーディング技術（ああすべき／こうすべき）くらいではないでしょうか？ なぜセキュアコーディング／セキュアプログラミングが普及していないのか？考えられる理由を挙げます

[rryu]

テストする際にはUIからは入力できない不正な入力値を意識する必要はあるけど、実装的には「正しい値」とそれ以外の2種類でいいと思う。

[strawberryhunter]

文中で語られているように入力をきちんと確認すれば良いだけの話であって、「セキュアなアーキテクチャー」などという大風呂敷を広げる輩には注意した方が良い。入力バリデーションをできないという謎の輩は論外。

[isrc]

セキュアなアーキテクチャーが知られていない／3種類の入力値しか存在しないことを知らない／Fail Fastの原則を知らない？／セキュリティが重要でないプログラム／コードが存在する

[masaru_b_cl]

「自前でバリデーション、エスケープせずにライブラリ、フレームワークを使って常に更新しろ」が最初だといいですね

[koyancya]

なるほど -> "セキュリティに興味がある方などから「”入力バリデーション”はできない」と本気で議論を挑まれたことがあります"

[watermaze]

Struts2は不正入力パターンを入力チェックで撥ねようとして、新たな攻撃パターンが見つかってまた対応してという歴史が続いてますね。

[k2wanko]

設計段階でセキュリティの人が呼ばれることってなかなかないしなー

[itouhiro]

「3種類の入力値。Fail Fastの原則」

[kamei_rio]

"Fail Fastの原則はセキュアコーディング／セキュアプログラミングの最重要事項"