نجد أن كثير من المبرمجين العرب لا يهتم بتطبيق الأبجديات في البرمجة الآمنه لتطبيقاته، مما قد يؤدي لتعرض تطبيقاته وعملائه لمخاطر الإختراق والتخريب التي قد تضر بسمعة صاحب الموقع أو الخدمة المقدمة وبالتالي فقدان العملاء وغير ذلك. هل السبب عدم معرفة المبرمج لهذا الجانب؟ أو التجاهل بأن الإختراق لن يحدث؟
ماهو رأيك؟
بالعكس كل مبرمج يهتم بتأمين وحماية برمجياته، ولكن المشكلة تكمن في سوء التصرف في تشغيل البرنامج .. فـ غالباً يطلب العميل بيانات الملفات ثم يقوم بتسليمها لشخص غير موثوق فيه وهو من يقوم بعملية التخريب، وأغلب الاختراقات هي ليست اختراقات فعلياً وإنما تتم عن تساهل بالبيانات من العميل نفسه وليس من المبرمج!
الأمر الآخر غالباً خطط التأمين والحماية المتقدمة تكون تكلفتها مرتفعة بالنسبة للعميل وبالرغم من أهميتها إلا أن العميل يتردد في دفع مبالغ مخصصة فقط للحماية نظراً لأنه يتوقع أنها أسعار مبالغ فيها .. عن نفسي دائماً أقترح خطط حماية إضافية على عملائي ولكن قليل منهم من يطلبها، خصوصاً أنني أكون عقلاني مع العميل وأوضح له بأن نسبة الإختراق ولله الحمد ليست عالية وأن البرنامج من الأساس تم تأمينه بالأساسيات الافتراضية والسيرفر أيضاً .. لذلك يرى العميل أن الحماية الإضافية أمر من الكماليات التي ينصح بها .. فضلاً عن أنه في الغالب يكون موقعه لا يحتوي على بيانات سرية جداً وتستحق الدفع الإضافي من وجهة نظره!
لي عتب على سؤالك .. ياليت لو لم تكتب (المبرمج العربي) فالأمر الذي تتحدث عنه ليس صفة يختص بها العرب! أتمنى لو حدثت لك تجارب مع مبرمجين أجانب لتعرف أن هناك الكثير من الأجانب يتمتعون بسوء البرمجة فضلاً عن الدراية بالحماية والتأمين لتعرف قيمة المبرمج العربي!
اشكرك على الرد...
بالنسبة للنقطة الأولى وهي تسريب المعلومات أو البيانات هذه مشكلة أمنية تطلب في الغالب تدخل طرف ثالث لتسريب هذه المعلومات، وهنا انا لم اتطرق لهذا الجانب.
بالنسبة للنقطة الثانية: المشكلة تكمن في الإعتقاد ان البرمجة الآمنة تكلفتها باهظة، انا هنا اطلب من المبرمج نفسه ان يتعلم كيف يبرمج بطريقة آمنة لحماية عملائه، حسب رأي انه من غير المناسب سؤال العميل هل تريد أن اقوم ببرمجة موقعك بشكل آمن أم لا؟ هذا السؤال غير منصف للعميل. حتى بعد الإنتهاء من المشروع يجب الإشاره للعميل بضرورة عمل اختبار اختراق (كما اشار محمد عسكر
للموقع او التطبيق خصوصاً اذا كان معقد أو يستهدف شريحة معينة أو يحتوي على معلومات حساسة. البيانات قد لا تكون سرية جداً، قد تكون عبارة عن كلمات المرور للمستخدمين ومعلوماتهم الشخصية التي قد تؤدي لإختراقات أخرى لهم في مواقع أخرى.
اخيراً، لم اقصد الإهانة أو التقليل من المبرمج العربي، انما كتبتها لأنني استهدف هذه الشريحة في عملي في أمن المعلومات كمختبر اختراق.
الأمر ليس عدم اهتمام بل عدم معرفة. المشكلة أن عدد كبير من المبرمجين خصوصاً العاملين بالشركات لا يهتموا بتطوير مهاراتهم وربما يعتمدوا على ما تعلموه بالجامعة وبعض الشروحات هنا وهناك "لتركيب" تطبيق فوق بعضه دون أي فهم للأمور الأمنية فيه.
أرى أن المبرمجين العرب والشركات العربية بشكل عام لا تهتم بموضوع أمن المعلومات لعدم معرفتهم به في الغالب ! أو أنهم يعتبرون أمن المعلومات من الكماليات وان المستخدم لا يعلم بها لذلك لن أقوم بوضعها ,, على أي حال برأيي يجب على المستخدم بعد تركيب أي تطبيق أن يقوم بتأجير مختبر إختراق لكي يقوم بالفحص الكامل له لكي يضمن مستوى حمايه عالي.
لأن الوقت والجهد المصروف على الخوارزمية سيكون كبير جداً بالمقارنة مع الوقت الذي سيستغرق في كسر حمايتها. فضع نفسك مكانه، هل ستصرف شهر من وقتك على كتابة خوارزمية قد يتم كسر حمايتها في يوم أم توفر هذا الشهر لتطوير البرنامج؟
معظم الخوارزميات التي ستراها في التطبيقات العربية خوارزميات خجولة وبسيطة، ولكنها تفي بالغرض لدفع المستخدم التقليدي لطلب البرنامج وشرائه في حال أعجبه، ليس لأن تقف أمام محاولات من يحاول كسر هذه الحماية.
هناك من يذهب من المبرمجين العرب إلى استخدام تقنيات تجارية لحماية برامجهم، طبعاً بعض هذه التقنيات أثبت أنه سيطيل من الفترة اللازمة لكسر الحماية ولكن بالمقابل فإن الكلفة المصروفة على شراء ترخيص هذه التقنية سينعكس على القيمة النهائية للبرنامج الأمر الذي قد يرفع من سعر البرنامج بنسبة شبه كبيرة تدفع بالمستخدمين بعيداً عنه إلى تطبيق "أرخص" (إن كانوا مهتمين بشرائه أصلاً)
هناك قاعدة
خوارزميات الحماية تكسر، مهما بلغت صعوبتها، المسألة فقط كم من الوقت عليك "كمبرمج" أن تكسب لبيع برنامجك قبل أن يتم كسر حمايته ويصبح متوفراً عبر الانترنت بالمجان.
انت هنا تطرقت لنقطة واحدة وهي خاصة بالبرامج المدفوعة مقابل المجانية وحمايتها من عدم كسرها (سرقتها)... ماكنت اقصده في سؤالي هو حماية تطبيقاتك ومواقعك عند برمجتها من ثغرات مثل SQL Injection و ثغرات XSS او ثغرات تخص النظام الى غير ذلك. وهو مايتطلب من المبرمج معرفة بسيطة بالبرمجة الآمنة لتفادي الإختراقات.
التعليقات