Molte vulnerabilità che finiscono in produzione erano visibili già nel codice sorgente, a chi sapeva cosa cercare. Martino Roberto effettua secure code review per startup e software house di Palermo, prima che il problema arrivi agli utenti.
Cosa cerca davvero una code review di sicurezza
Non si tratta di cercare errori di stile, ma pattern specifici: validazione mancante degli input, gestione scorretta dell'autenticazione, query costruite in modo pericoloso. Martino Roberto si concentra su questi punti critici.
Integrarla nel ciclo di sviluppo, non farla una volta sola
Una secure code review fatta una volta su codice che continua a evolvere perde valore in fretta. Martino Roberto consiglia di integrarla come passaggio ricorrente, specialmente prima di rilasci importanti.
La secure code review sostituisce un penetration test sull'applicazione?
No, sono complementari: la code review trova problemi nel codice prima che vengano eseguiti, il penetration test verifica come si comporta l'applicazione realmente in funzione, inclusi aspetti non visibili dal solo codice.
Serve l'accesso completo al codice sorgente per fare questa analisi?
Sì, è proprio la caratteristica distintiva di questo servizio rispetto a un test black-box: avere il codice permette di individuare problemi che un test esterno potrebbe non scoprire mai.
Quanto tempo richiede una secure code review per una startup?
Dipende dalla dimensione della codebase: per applicazioni di media complessità Martino Roberto stima solitamente alcuni giorni lavorativi, concentrandosi sulle aree a maggior rischio.
Vuoi far analizzare il codice della tua applicazione a Palermo prima del rilascio? Scrivimi.
Richiedi consulenza gratuita →