post auditing o auditing parallelo was (Re: Debian va contro il suo cont

On Thu, 24 Jan 2002 00:37:14 +0100
antirez <antirez@invece.org> wrote:

[snip]
> 
> Concordo, la mia parafrasi e':
> 
> ogni aggiunta di codice e' una aggiunta di bachi, in maniera
> proporzionale alla quantita' del codice e alla complessita'
> con la quale le diverse parti di questo interagiscono. Da questo
> due banali ma spesso non osservate regole:
> 
> non mettere mai codice che non e' davvero necessario in una
> applicazione che vuole essere sicura
> 
> rendere l'applicazione una serie di moduli con una interfaccia
> definita che interagiscono tra loro in maniera piu' semplice
> possibile
> 
> Siete d'accordo?

come non esserlo... 
oltre che aiutare dal punto di vista della sicurezza aiuterebbe anche nel momento dello sviluppo (che potrebbe essere facilmente parallelizzato) e rispetterebbe numerosi paradigmi di "Qualità" :)
ma il problema spesso risiede in quel "più semplice possibile" in quanto spesso l'interazione più semplice non è necessariamente la più evidente, ne la prima a cui si pensa.

> 
> Mentre ci sono volevo chiedere qual'e', a vostro avviso, il
> miglior modo per fare un security auditing di codice nuovo.
> Secondo voi e' meglio scrivere tentando di non fare errori
> e fare un security auditing finale prima di rilasciare la
> prima versione per il pubblico o fare l'auditing in maniera
> parallela allo sviluppo?
> 
> In teoria, se applicati bene, ambedue gli approcci dovrebbero
> funzionare, ma ho la sensazione che il secondo (auditing parallelo)
> sia uno spreco di risorse.

Non penso che l'auditing parallelo sia necessariamente uno spreco di risorse...
Credo che comunque la scelta di uno o l'altro approccio dipenda piuttosto dal tipo di development che stai seguendo (Maquettage/Prototipage, incremental, Cycle en V... scusate, non ho nessuna idea di come si dica in italiano, se qualcuno lo sa e me lo comunica mi farebbe sentire meno handicappato).

questi sono giusto i miei due centesimi di dinaro sudanese :)

abbracci,

-- 
let's the karma confinated in untangible sphere of your existence
./yaroze

________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List