Segurança no Software

Sobre o Livro

Título: Segurança no Software
Autor: Miguel Pupo Correia / Paulo Jorge Sousa
ISBN: 978-972-722-662-7
Nº págs.: 480
Formato: 17,0 x 24,0 cm

O Livro

O principal objectivo deste livro consiste em responder à questão sobre como desenvolver software seguro. No entanto, o seu âmbito é mais lato, já que trata a segurança de software, um tema que inclui outros aspectos como a auditoria de software e a protecção de software em produção.

O livro aborda este tema em quatro partes. A primeira apresenta uma panorâmica sobre a segurança de software, introduzindo conceitos básicos, princípios de projecto e os mecanismos de protecção dos sistemas operativos convencionais. A segunda parte apresenta as principais classes de vulnerabilidades actuais, bem como aquilo que o programador deve fazer para não as criar quando desenvolve software. A terceira parte aborda o problema de uma perspectiva diferente: apresenta um conjunto de técnicas e ferramentas que podem ser usadas para tornar mais seguro o software que já existe e que pode ter grande dimensão. A quarta parte apresenta um conjunto de tópicos avançados, ou seja, de técnicas que poderão, num futuro próximo, ser usadas para melhorar a segurança de software.

O livro foi escrito tendo em vista dois tipos de leitores. Por um lado, pretende servir de manual para disciplinas de segurança de software a nível universitário: licenciatura e pós-graduação. Por outro lado, destina-se ao profissional da informática interessado em desenvolver software seguro, ou em auditar ou proteger software já existente.

Principais Tópicos

Vulnerabilidades, ataques e intrusões;
Buffer overflows, cross-site scripting, SQL injection
Cópia e modificação de software
Teste de software e injecção de ataques
Análise estática de código
Mecanismos de protecção dinâmica
Virtualização
Trusted Computing

Público-Alvo

Alunos de Licenciaturas, Mestrados e Doutoramentos.
Profissionais de Informática.

Slides / acetatos

Caso pretenda adoptar o livro numa cadeira do Ensino Superior, temos slides/acetatos Powerpoint para todos os capítulos do livro. Pedidos para miguel.p.correia_AT_ist.utl.pt

Os Autores

Miguel Correia is an Associate Professor at Instituto Superior Técnico of the Universidade Técnica de Lisboa. He is a researcher at INESC-ID, in the Distributed Systems Group. Until recently he was with the University of Lisboa Faculty of Sciences, LASIGE and the Navigators. He has been involved in several international and national research projects related to intrusion tolerance and security, including the TCLOUDS, MAFTIA and CRUTIAL EC-IST projects, and the ReSIST NoE. He has more than 60 publications in international journals, conferences and workshops. His main research interests are: security, intrusion tolerance, distributed systems, distributed algorithms, cloud computing. He created and is in the Steering Committe of the international Workshop on Recent Advances in Intrusion-Tolerant Systems, with its 5th edition in 2011. More information about me is available at http://homepages.gsd.inesc-id.pt/~mpc/

Paulo Sousa is currently Director of Research & Innovation at Maxdata. He was Invited Assistant Professor (Professor Auxiliar Convidado) at the Department of Informatics of the Faculty of Sciences of the University of Lisboa, Portugal, between 2007 and 2010. He received a PhD degree in Computer Science (Informatics) from the University of Lisboa in 2007, and won the IBM Scientific Award in the same year. He was a member of the Navigators Group, part of the LaSIGE – Large Scale Informatic Systems Laboratory, between 2001 and 2010. More information about him at http://paulosousa.me/

Algumas citações de motivação ao livro

"(...) security in software requires a fundamentally different business model from that which exists today. In fact, the current state of security in commercial software is rather distasteful, marked by embarrassing public reports of vulnerabilities and actual attacks, scrambling among developers to fix and release patches, and continual exhortations to customers to perform rudimentary checks and maintenance."
Jim Routh, Forcing Firms to Focus: Is Secure Sofware in Your Future, in Beautiful Security, O'Reilly, 2010

"We wouldn’t have to spend so much time, money, and effort on network security if we didn’t have such bad software security. Think about the most recent security vulnerability about which you’ve read. Maybe it’s a killer packet that allows an attacker to crash some server by sending it a particular packet. Maybe it’s one of the gazillions of buffer overflows that allow an attacker to take control of a computer by sending it a malformed message. Maybe it’s an encryption vulnerability that allows an attacker to read an encrypted message or to fool an authentication system. These are all software issues."
John Viega e Gary McGraw. Building Secure Software. Addison Wesley 2002.

"S&P: Modern encryption plays a big role in commerce. Given the strength of today’s algorithms and implementations, what are the current weak links in an end-to-end system?
Zimmermann: I think the weak links are mostly the operating systems, mostly Windows. The encryption is strong enough that you usually don’t have to worry about someone breaking the encryption. Think of encryption as having a steel door on your house that’s three feet thick – but someone could bust a window, stick their hand in, turn the doorknob, and open the door – because of the OS."
Phil Zimmermann (criador do PGP), entrevista à IEEE Security & Privacy, Jan/Feb 2006

"We at Oracle have (...) determined that most developers we hire have not been adequately trained in basic secure coding principles (...) We have therefore had to develop and roll out our own in-house security training program at significant time and expense. (...) In the future, Oracle plans to give hiring preference to students who have received such training and can demonstrate competence in software security principles."
Mary Ann Davidson, Chief Security Officer da Oracle, carta enviada às 10 principais universidades americanas entre as quais a ORACLE contrata engenheiros (2008)

Vídeos da Sessão de Lançamento

Depois de obtidas as devidas autorizações, disponibilizamos finalmente os vídeos da sessão de lançamento do livro, que se realizou no passado dia 19 de Outubro na FNAC do Colombo.

A apresentação do livro foi feita pelo Prof. Paulo Veríssimo (Professor Catedrático da Faculdade de Ciências da Universidade de Lisboa) e pelo Dr. João Barreto (Managing Partner da SysValue e Docente da Universidade Católica):

Vídeo da intervenção do Prof. Paulo Veríssimo
Vídeo da intervenção do Dr. João Barreto

A abertura da sessão ficou a cargo do Eng. Frederico Annes, Director da FCA. No final da sessão nós os autores também dissemos algumas palavras. Ao todo foram 5 intervenções, que se encontram disponíveis abaixo pela ordem com que decorreram:

Abertura: Frederico Annes
Apresentação: Paulo Veríssimo e João Barreto
Autores: Paulo Jorge Sousa e Miguel Pupo Correia