버그 없는 안전한 소프트웨어를 위한 CERT 자바 프로그래밍

CHAPTER 01 개요
잘못된 신뢰
삽입 공격
비밀 데이터 유출
접근 권한 유출
서비스 거부
직렬화
동시성, 가시성, 메모리
최소 권한 원칙
보안 관리자
클래스 로더
결론

CHAPTER 02 입력 검증 및 데이터 새니타이즈(IDS)
__규칙
__위험 평가 요약
__IDS00-J 신뢰 경계를 넘어온 데이터는 새니타이즈한다
__IDS01-J 문자열을 검증하기 전에 정규화한다
__IDS02-J 경로 이름을 검증하기 전에 규범화한다
__IDS03-J 새니타이즈하지 않은 사용자 입력은 로그에 남기지 않는다
__IDS04-J ZipInputStream에 전달된 파일 크기를 제한한다
__IDS05-J 파일과 경로 이름에 ASCII 문자의 일부만 사용한다
__IDS06-J 포맷 문자열에 사용자 입력을 포함하지 않는다
__IDS07-J 신뢰하지 않고 새니타이즈하지 않은 데이터를 Runtimeexec( ) 메서드에 전달하지 않는다
__IDS08-J regex에 전달할 신뢰하지 않는 데이터를 새니타이즈한다
__IDS09-J 로케일을 설정하기 전에는 로케일에 의존하는 데이터에 로케일에 의존하는 메서드를 사용하지 않는다
__IDS10-J 두 데이터 구조 간에 문자를 분할하지 않는다
__IDS11-J 검증하기 전에 비문자 코드를 제거한다
__IDS12-J 인코딩 변경할 때 문자열 데이터를 무손실 변환한다
__IDS13-J 파일이나 네트워크에 입출력할 때 양단에 호환되는 인코딩을 사용한다

CHAPTER 03 선언과 초기화(DCL)
__규칙
__위험 평가 요약
__DCL00-J 클래스를 초기화할 때 순환을 예방한다
__DCL01-J 자바 표준 라이브러리의 식별자를 재사용하지 않는다
__DCL02-J 향상된 for 문의 모든 루프 변수는 final로 선언한다

CHAPTER 04 표현식(EXP)
__규칙
__위험 평가 요약
__EXP00-J 메서드가 반환한 값을 무시하지 않는다
__EXP01-J 널 포인터를 역참조하지 않는다
__EXP02-J 배열 내용을 비교하려면 인자를 두 개 받는 Arraysequals( ) 메서드를 사용한다
__EXP03-J 박싱된 기본형을 비교할 때 동등 비교 연산자를 사용하지 않는다
__EXP04-J 오토박싱된 기본형의 값이 의도한 형인지 확인한다
__EXP05-J 식 하나 안에서 동일 변수에 두 번 이상 쓰지 않는다
__EXP06-J assert 문 안에 부작용이 있는 표현을 사용하지 않는다

CHAPTER 05 수치형과 연산 (NUM)
__규칙
__위험 평가 요약
__NUM00-J 정수 오버플로우를 탐지하거나 예방한다
__NUM01-J 동일 데이터에 비트 연산과 수리 연산을 수행하지 않는다
__NUM02-J 나눗셈과 모듈로 연산할 때 0으로 나누지 않게 보장한다
__NUM03-J unsigned 형을 저장하는 정수형 변수는 가능한 모든 값을 표현할 수 있어야 한다
__NUM04-J 정확히 계산해야 할 때는 부동소수점형을 사용하지 않는다
__NUM05-J 비정규화된 부동소수점을 사용하지 않는다
__NUM06-J 플랫폼 간 부동소수점 연산의 결과를 동일하게 하려면 strictfp 지시자를 사용한다
__NUM07-J NaN과 값을 비교하지 않는다
__NUM08-J 부동소수점 입력 시 예외적인 값을 확인한다
__NUM09-J 루프 카운터로 부동소수점을 사용하지 않는다
__NUM10-J 부동소수점 상수를 사용해 BigDecimal 객체를 만들지 않는다
__NUM11-J 부동소수점을 나타내는 문자열을 비교하거나 검사하지 않는다
__NUM12-J 수치형 값을 더 작은 형으로 변환할 때 데이터가 손실되거나 잘못 변환되지 않게 확인한다
__NUM13-J 기본 정수형을 부동소수점형으로 변환할 때 정밀도 손실을 피한다

CHAPTER 06 객체 지향(OBJ)
__규칙
__위험 평가 요약
__OBJ00-J 신뢰하는 하위 클래스만 불변 성질을 가진 클래스나 메서드를 상속할 수 있게 한다
__OBJ01-J 데이터 멤버는 private로 선언하고 접근 메서드를 제공한다
__OBJ02-J 상위 클래스를 수정할 때는 하위 클래스가 의존하는 불변 성질을 유지한다
__OBJ03-J 신규 코드에서 제네릭 클래스와 비제네릭 클래스를 함께 사용하지 않는다
__OBJ04-J 신뢰하지 않는 코드에 안전하게 객체를 전달할 수 있게 가변 클래스의 복사 기능을 제공한다
__OBJ05-J 반환하기 전에 클래스의 가변 private 멤버를 복사해 보호한다
__OBJ06-J 가변 입력과 가변 내부 컴포넌트를 복사해 보호한다
__OBJ07-J 기밀 클래스는 복제되지 않아야 한다
__OBJ08-J 중첩된 클래스를 통해 private 멤버를 노출하면 안 된다
__OBJ09-J 클래스를 비교할 때 클래스 이름으로 비교하면 안 된다
__OBJ10-J final이 아닌 public static 변수를 사용하지 않는다
__OBJ11-J 생성자가 예외를 발생시킬 수 있게 할 때는 주의한다

CHAPTER 07 메서드(Met)
__규칙
__위험 평가 요약
__MET00-J 메서드 인자를 검증한다
__MET01-J 메서드 인자를 검증할 때 절대로 assert를 사용하지 않는다
__MET02-J 폐지되거나 폐지 예정인 클래스나 메서드를 사용하지 않는다
__MET03-J 보안 검사하는 메서드는 반드시 private나 final로 선언해야 한다
__MET04-J 숨기거나 오버라이드한 메서드의 접근성을 확대하지 않는다
__MET05-J 오버라이드될 수 있는 메서드를 생성자가 호출하지 않게 보장한다
__MET06-J clone( ) 메서드가 오버라이드될 수 있는 메서드를 호출하면 안 된다
__MET07-J 상위 클래스나 인터페이스의 메서드를 가리는 클래스 메서드를 선언하지 않는다
__MET08-J 동등 비교하는 객체는 동등 비교할 수 있게 보장한다
__MET09-J equals( ) 메서드를 구현하는 클래스는 반드시 hashCode( ) 메서드를 구현해야 한다
__MET10-J compareTo( ) 메서드를 구현할 때 일반적인 용법을 지원한다
__MET11-J 비교 연산에 사용하는 키는 불변형이어야 한다
__MET12-J finalize( ) 메서드를 사용하지 않는다

CHAPTER 08 예외 처리(ERR)
__규칙
__위험 평가 요약
__ERR00-J 필수처리 예외를 억제하거나 무시하지 않는다
__ERR01-J 예외에 의해 기밀 정보가 유출되지 않게 한다
__ERR02-J 로그를 저장하는 동안 예외가 발생하지 않게 한다
__ERR03-J 메서드가 실패하면 객체를 이전 상태로 복구한다
__ERR04-J finally 블럭에서 갑작스럽게 빠져나가지 않는다
__ERR05-J 필수처리 예외가 finally 블럭을 빠져나가지 못하게 한다
__ERR06-J 선언하지 않은 예외를 발생시키지 않는다
__ERR07-J RuntimeException, Exception, Throwable 예외를 발생시키지 않는다
__ERR08-J NullPointerException과 상위 예외를 잡지 않는다
__ERR09-J 신뢰하지 않는 코드가 JVM을 종료하지 못하게 한다

CHAPTER 09 가시성과 원자성(VNA)
__규칙
__위험 평가 요약
__VNA00-J 공유된 기본형 변수에 접근할 때 가시성을 보장한다
__VNA01-J 불변 객체에 대한 공유된 참조의 가시성을 보장한다
__VNA02-J 공유된 변수에 대한 복합 연산의 원자성을 보장한다
__VNA03-J 독립적으로 호출한 일련의 원자적 메서드 전체를 원자적이라고 가정하지 않는다
__VNA04-J 연결된 메서드를 호출할 때 호출된 전체 메서드의 원자성을 보장한다
__VNA05-J 64비트 값을 읽고 쓸 때 연산의 원자성을 보장한다

CHAPTER 10 락(LCK)
__규칙
__위험 평가 요약
__LCK00-J 신뢰하지 않는 코드에 접근하는 클래스를 동기화하려면 private final 락 객체를 사용한다
__LCK01-J 재사용될 수 있는 객체를 이용해 동기화하지 않는다
__LCK02-J getClass( )에 의해 반환된 클래스 객체를 이용해 동기화하지 않는다
__LCK03-J 상위 수준의 동시성 객체를 이용해 동기화하지 않는다
__LCK04-J 지원 컬렉션에 접근할 수 있을 때 컬렉션 뷰로 동기화하지 않는다
__LCK05-J 신뢰하지 않는 코드가 수정할 수 있는 static 필드를 접근할 때는 동기화한다
__LCK06-J 공유된 static 데이터를 보호하고자 인스턴스 객체를 락으로 사용하지 않는다
__LCK07-J 락을 동일한 순서로 요청하고 해제하여 데드락을 피한다
__LCK08-J 예외 조건 처리 시 활성화된 락을 반드시 해제한다
__LCK09-J 락을 활성화한 후 블럭될 수 있는 연산을 수행하지 않는다
__LCK10-J 이중 검사 동기화의 잘못된 형태를 사용하지 않는다
__LCK11-J 락 정책을 완전히 구현하지 않는 클래스를 사용할 때 클라이언트 측에서 락하지 않는다

CHAPTER 11 스레드 API(THI)
__규칙
__위험 평가 요약
__THI00-J Threadrun( ) 메서드를 호출하지 않는다
__THI01-J ThreadGroup 메서드를 호출하지 않는다
__THI02-J 특정 스레드 대신 대기하는 모든 스레드에 노티피케이션을 보낸다
__THI03-J wait( )와 await( ) 메서드는 언제나 루프 안에서 호출한다
__THI04-J 블럭된 연산을 수행하는 스레드는 종료될 수 있음을 보장한다
__THI05-J 스레드를 종료하고자 Threadstop( ) 메서드를 사용하지 않는다

CHAPTER 12 스레드 풀(TPS)
__규칙
__위험 평가 요약
__TPS00-J 트래픽이 폭주할 때 성능이 완만히 저하되게 스레드 풀을 사용한다
__TPS01-J 스레드 풀 안에서 상호 의존적인 작업을 수행하지 않는다
__TPS02-J 스레드 풀에 들어간 작업은 인터럽트될 수 있음을 보장한다
__TPS03-J 스레드 풀에서 수행되는 작업이 에러 없이 실패하지 않게 보장한다
__TPS04-J 스레드 풀을 사용할 때 스레드 로컬 변수가 다시 초기화되게 보장한다

CHAPTER 13 그 외 스레드 안전(TSM)
__규칙
__위험 평가 요약
__TSM00-J 스레드 안전한 메서드를 스레드 안전하지 않은 메서드로 오버라이드하지 않는다
__TSM01-J 객체 생성 중 this 참조가 유출되지 않게 한다
__TSM02-J 클래스 초기화 중 백그라운드 스레드를 사용하지 않는다
__TSM03-J 일부분만 초기화된 객체를 공개하지 않는다

CHAPTER 14 입출력(FIO)
__규칙
__위험 평가 요약
__FIO00-J 공유 디렉터리에 있는 파일에 작업하지 않는다
__FIO01-J 파일 생성 시 적절한 접근 권한을 부여한다
__FIO02-J 파일 관련 에러를 탐지하고 처리한다
__FIO03-J 작업을 종료하기 전에 임시 파일을 삭제한다
__FIO04-J 필요 없어진 리소스는 닫는다
__FIO05-J 신뢰하지 않는 코드에 wrap( )이나 duplicate( ) 메서드로 생성한 버퍼를 노출하지 않는다
__FIO06-J 한 InputStream에 여러 버퍼 래퍼를 만들지 않는다
__FIO07-J 외부 프로세스가 입출력 스트림을 기다리게 하지 않는다
__FIO08-J 글자나 바이트를 읽는 메서드의 반환값을 저장하려면 int 형을 사용한다
__FIO09-J 0부터 255 이외의 정수를 출력할 때 write( ) 메서드를 사용하면 안 된다
__FIO10-J read( )로 배열을 채울 때 배열이 제대로 채워졌음을 확인한다
__FIO11-J 이진 데이터를 문자 데이터로 읽지 않는다
__FIO12-J 리틀-엔디안 데이터를 읽고 쓰는 메서드를 제공한다
__FIO13-J 신뢰 경계 외부에 기밀 정보 로그를 남기지 않는다
__FIO14-J 프로그램을 종료할 때 적절히 정리한다

CHAPTER 15 직렬화(SER)
__규칙
__위험 평가 요약
__SER00-J 클래스를 변경할 때 직렬화 호환성을 유지한다
__SER01-J 직렬화 메서드의 적절한 시그너처를 유지한다
__SER02-J 신뢰 경계 외부로 기밀 객체를 전송할 때 서명하고 봉인한다
__SER03-J 암호화 안 한 기밀 데이터를 직렬화하지 않는다
__SER04-J 보안 관리자를 피해 직렬화 및 역직렬화할 수 없게 한다
__SER05-J 내부 클래스 객체를 직렬화하지 않는다
__SER06-J 역직렬화하는 동안 private 가변 컴포넌트를 복사해 보호한다
__SER07-J 불변 성질을 갖고 있는 객체는 기본 직렬화 형태를 사용하면 안 된다
__SER08-J 높은 권한을 갖고 있으면 역직렬화하기 전에 권한을 최소화한다
__SER09-J readObject( ) 메서드 안에서 오버라이드될 수 있는 메서드를 호출하지 않는다
__SER10-J 직렬화하는 동안 메모리와 리소스가 누수되지 않게 한다
__SER11-J Externalizable 객체의 내용을 덮어쓰지 못하게 한다

CHAPTER 16 플랫폼 보안(SEC)
__규칙
__위험 평가 요약
__SEC00-J 권한이 있는 코드가 신뢰 경계 외부에 기밀 정보를 유출하지 못하게 한다
__SEC01-J 권한이 있는 코드 안에서 신뢰하지 않는 변수를 사용하지 않는다
__SEC02-J 신뢰하지 않는 외부 데이터를 직접 보안 검사하지 않는다
__SEC03-J 신뢰하지 않는 코드가 임의의 클래스를 로드하게 허용한 후 신뢰하는 클래스를 로드하면 안 된다
__SEC04-J 보안 관리자 검사를 이용해 기밀 연산을 보호한다
__SEC05-J 리플렉션으로 클래스, 메서드, 필드에 접근성을 확대하면 안 된다
__SEC06-J URLClassLoader와 javautiljar가 제공하는 기본 자동 서명 검증 기능에 의존하지 않는다
__SEC07-J 사용자 정의 클래스 로더를 작성할 때 상위 클래스의 getPermissions( ) 메서드를 호출한다
__SEC08-J 네이티브 메서드에 대한 래퍼를 정의한다

CHAPTER 17 런타임 환경(ENV)
__규칙
__위험 평가 요약
__ENV00-J 권한이 없는 연산만 실행하는 코드는 서명하지 않는다
__ENV01-J 모든 보안 코드는 단 하나의 jar 파일에 넣어 서명하고 봉인한다
__ENV02-J 환경 변수 값을 신뢰하지 않는다
__ENV03-J 위험한 권한 조합을 부여하지 않는다
__ENV04-J 바이트 코드 검증을 비활성화하면 안 된다
__ENV05-J 원격에서 감시할 수 있는 애플리케이션은 배포하지 않는다

CHAPTER 18 기타(MSC)
__규칙
__위험 평가 요약
__MSC00-J 안전하게 데이터를 교환하려면 Socket 대신 SSLSocket을 사용한다
__MSC01-J 빈 무한 루프를 사용하면 안 된다
__MSC02-J 강력한 난수를 생성한다
__MSC03-J 기밀 정보는 결코 하드코딩하면 안 된다
__MSC04-J 메모리를 누수시키지 않는다
__MSC05-J 힙 영역을 고갈시키지 않는다
__MSC06-J 루프에서 나열하는 동안 참조하는 컬렉션을 수정하지 않는다
__MSC07-J 싱글톤 클래스가 여러 객체를 만들지 않게 한다