AWS-ը թողարկել է Continuum-ը՝ կոդի խոցելիությունները ստուգելու և շտկումներ առաջարկելու համար

The New Stack-ը հոկտեմբերի 24-ին հայտնել է, որ AWS-ը հինգշաբթի լայն հասանելիություն է տվել Continuum-ին՝ գերբանականության (ԳԲ) վրա հիմնված կոդի անվտանգության իր ծառայությանը։ Հաղորդման համաձայն՝ Continuum-ը կոդի շտեմարաններում հայտնաբերում է խոցելիությունները, հաստատում դրանց առկայությունը, ստուգում դրանք մշակողի AWS միջավայրում և բացում փոփոխությունների միավորման հարցումներ (pull requests)՝ մշակողի դիտարկմանը ներկայացնելով կոդի առաջարկվող փոփոխությունները։

Թողարկմանը նախորդել են հենանիշային թեստի արդյունքները, որոնք AWS-ը հրապարակել էր հոկտեմբերի 5-ին՝ ծառայության գործարկումից ավելի քան երկու շաբաթ առաջ։ AWS-ի հաղորդմամբ՝ Continuum-ը հաջողությամբ կատարել է 920 առաջադրանքից 819-ը։ Այդ 89,0% ցուցանիշը չափում էր՝ արդյոք ծառայությունը գտել ու շտկել է իրական խոցելիություն՝ պահպանելով առկա թեստերի հաջող անցումը, այլ ոչ թե՝ արդյոք շտկել է նախապես ընտրված կոնկրետ սխալը։

Ինչու հենանիշային թեստն ունի հաջողության երկու ցուցանիշ

AWS-ի կիրառած CyberGym-E2E հենանիշային թեստը գործակալին տալիս է 90 րոպե՝ բաց կոդով 139 նախագծերից մեկում խոցելիություն գտնելու և շտկելու համար։ Այն չի տրամադրում սխալի նկարագրություն, խոցելիության ցուցադրական օրինակ, ծրագրի խափանման մատյան կամ արդեն առկա շտկում։ Առաջադրանքը հաջողությամբ կատարելու համար գործակալը պետք է հայտնաբերի խոցելիությունը, գործարկի այն դրսևորող գործողությունը, ապա պատրաստի շտկում, որը կկանխի խափանումը՝ միաժամանակ պահպանելով նախագծի առկա թեստերի հաջող անցումը։

Գործակալին երբեք չեն հայտնում, թե նախկինում արձանագրված որ խոցելիությունն է ընտրել հենանիշային թեստը։ Ինչպես բացատրում է The New Stack-ը, շտեմարանը կարող է մի քանի խոցելիություն պարունակել, ուստի մեկ այլ իրական խոցելիության շտկումն օգնում է բացատրել ցուցանիշների տարբերությունը։ 37,8%-ը հաշվարկված է բոլոր առաջադրանքների ընդհանուր թվից, ոչ թե հաջողված շտկումների թվից։

Վերլուծություն

Ինչ են այս արդյունքները պարզում մշակողների համար

Յուրաքանչյուր առաջադրանք վերաբերում է C կամ C++ լեզվով ծրագրում հիշողության անվտանգության սխալին՝ հիշողությանը դիմելու կամ այն կառավարելու հետ կապված սխալին։ AWS-ն ընդունում է, որ այս շրջանակից դուրս են մնում ծրագրավորման բազմաթիվ այլ լեզուներ և խոցելիությունների տեսակներ։ Հետևաբար, ցուցանիշները չեն չափում ծառայության արդյունավետությունն անվտանգության բոլոր այն խնդիրների դեպքում, որոնց կարող է բախվել մշակողների թիմը։

Թեստերն անցկացրել է հենց AWS-ը։ Ընկերությունն ասում է, որ հետևել է հենանիշային թեստի կանոններին, այդ թվում՝ համացանցի հասանելիության սահմանափակումներին, և ստուգել է, որ գործակալը պարզապես չի փնտրում արդեն հրապարակված շտկումները։ Հենանիշային թեստն ու փորձարկման գործիքները հրապարակային են, սակայն The New Stack-ի հաղորդման պահին արդյունքները դեռ անկախ փորձարկմամբ չէին վերարտադրվել։

Այն թիմերի համար, որոնք արդեն գիտեն, թե որ խոցելիությունն է պետք շտկել, անհայտ է մնում նաև Continuum-ի հաջողության ցուցանիշը հենց այդ առաջադրանքում։ Թողարկմամբ հասանելի է դառնում նկարագրված աշխատանքային ընթացքը՝ շտեմարանի խոցելիությունների ստուգում AWS միջավայրում և շտկումների առաջարկում փոփոխությունների միավորման հարցումների միջոցով՝ մշակողների դիտարկման համար։