cos'e' che rende veramente "migliore" il sw libero sotto
il profilo tecnico ?
risposta ovvia: il fatto che chiunque puo' liberamente
ispezionare il codice sorgente, magari evidenziando qualche
criticita' e suggerendo dei possibili miglioramenti.
un ruolo particolarmente utile lo svolgono tutti i tools
piu' o meno automatici che sono in grado di "torturare"
spietatamente un componente software passandogli dei
"bocconi avvelenati" fino a che non riescono a mandarlo
in crash.
American Fuzzy Lop [1] e' per l'appunto un tool molto innovativo
di questa categoria che sta prendendo velocemente piede.
naturalmente e' open source: e' sviluppato da Google e viene
rilasciato sotto licenza Apache v2.0
Ha gia' una discreta storia di successi alle spalle; qua [2]
ci potete trovare la storia dei critical bugs gia' identificati
(e spesso risolti) proprio grazie ad American Fuzzy Lop e che
affliggevano molte tra le librerie ed i tools di base piu'
popolari e piu' ampiamente diffusi.
Ancor piu' degno di nota e' il fatto che attorno a questo
tool stanno nascendo delle communities di testers ben felici
di passare sistematicamente al vaglio di American Fuzzy Lop
molte tra le librerie open source.
[1]
http://lcamtuf.coredump.cx/afl/[2]
http://lcamtuf.coredump.cx/afl/#bugs------------
la mia esperienza personale: anche FreeXL e' cascata tra le
grinfie dei testers.
quindi mi hanno gentilmente contattato allegando 4 spreadsheets
XLS appositamente taroccati (fuzz) che effettivamente mandavano
in crash catastrofico la libreria.
il piu' pernicioso dei quattro e' riuscito a tenermi completamente
paralizzato Linux per circa 20 minuti fino a che alla fine e'
schiantato dopo avere completamente saturato ben 8 GM di RAM;
come ho scoperto durante il debugging stava tentando di creare
un paio di miliardi di celle-stringa :-D
morale: un pomeriggio di lavoro e tutte e quattro le criticita'
sono ora definitivamente risolte.
il buon vecchio Valgrind si e' rivelato ancora una volta fondamentale
per isolare e correggere i bugs.
tuttavia i fuzz "tossico-nocivi" generati da American Fuzzy Lop
si sono rivelati assolutamente fondamentali per snidare delle falle
di sicurezza che certamente non sarebbero mai emerse utilizzando
degli spreadsheets XLS "normali" e ben formattati.
esperienza decisamente interessante; ed un gran bel tool che si
va ad aggiungere a tutti gli altri che assicurano la produzione
di sw libero stabile e sicuro.
ciao Sandro
_______________________________________________
[hidden email]
http://lists.gfoss.it/cgi-bin/mailman/listinfo/gfossQuesta e' una lista di discussione pubblica aperta a tutti.
I messaggi di questa lista non hanno relazione diretta con le posizioni dell'Associazione GFOSS.it.
666+40 iscritti al 5.6.2014
Locked
