Katere so osnovne prakse varnega kodiranja?

Question

Accepted Answer

**Varno kodiranje** pomeni pisanje kode, ki se upira napadom in ščiti podatke — sledenje praksam, ki preprečujejo pogoste ranljivosti. Razumevanje osnov helps developers build security in from the start rather than bolting it on later.

## Osnovne prakse varnega kodiranja

```text
✓ VALIDATE all input (never trust user/external input); allowlist where possible
✓ Use PARAMETERIZED queries (prevent SQL injection); ESCAPE output (prevent XSS)
✓ AUTHENTICATE and AUTHORIZE properly (verify identity; check permissions server-side)
✓ HANDLE SENSITIVE DATA carefully — hash passwords, encrypt sensitive data, use HTTPS
✓ Don't HARDCODE SECRETS (keys, passwords) in code → use env vars / secrets managers
✓ Use SECURE DEFAULTS; fail securely (errors shouldn't expose data or grant access)
```

## Izognite se pogostim napakam

```text
✗ Trusting user input / client-side checks (validate on the SERVER)
✗ Exposing sensitive info in errors/logs (stack traces, secrets, PII)
✗ Using outdated/vulnerable DEPENDENCIES (keep them updated; scan them)
✗ Rolling your own CRYPTO (use vetted libraries/standards, not custom algorithms)
✗ Overly broad permissions (apply LEAST PRIVILEGE)
```

## Načela varnosti

```text
✓ LEAST PRIVILEGE → grant only the minimum access needed (limit damage)
✓ DEFENSE IN DEPTH → multiple layers (no single point of failure)
✓ FAIL SECURELY → on error, default to denying access / safe state
✓ KEEP IT SIMPLE → complex code hides bugs/vulnerabilities
✓ SECURITY BY DESIGN → build it in from the start (shift left), not as an afterthought
```

## Zakaj je to pomembno

Razumevanje osnovnih praks varnega kodiranja je temelj, ker **razvijalci napišejo kodo, ki je varna ali ranljiva**, zato je uporaba varnih praks bistvena za gradnjo varne programske opreme, kar naredi to pomembno varnostno znanje.

Varno kodiranje — pisanje kode, ki se upira napadom in ščiti podatke — je vse bolj osnovni razvojni odgovor, in razumevanje osnov omogoča gradnjo varnosti od samega začetka.

**Osnovne prakse** — validacija vhoda (nikoli ne zaupamo zunanjim vnosom), uporaba parametriziranih poizvedb (preprečevanje SQL injection) in ubežanje izhoda (preprečevanje XSS), pravilna avtentifikacija in avtorizacija (na strežniku), previdno ravnanje s občutljivimi podatki (zgoščevanje gesel, šifriranje, HTTPS), **ne trde kodiranje skrivnosti** (uporaba spremenljivk okolja ali upraviteljev skrivnosti — pogosta napaka), in uporaba varnih privzetih nastavitev, ki varno propadejo — neposredno preprečijo najpogostejše ranljivosti.

Razumevanje **pogostih napak, ki se jim je treba izogniti** — zaupanje preverkami na strani odjemalca, razkrivanje občutljivih informacij v napakah in dnevnikih, uporaba zastaranih/ranljivih odvisnosti, **razvijanje lastne kriptografije** (slaba praksa — uporaba preverjenih knjižnic namesto tega), in preširoke dovoljenosti — pomaga razvijalcem, da se izognejo pogostim varnostnim napakam.

Razumevanje **varnostnih načel** — **najmanjše pravice** (minimalni potrebni dostop, omejitev škode), **zaščita v globino** (več plasti, nobena točka moči), **varno propadanje** (privzeto zavrnjen dostop ob napaki), preprostost (kompleksnost skriva ranljivosti), in **varnost po zasnovi** (gradnja od samega začetka) — omogoča mentalno nastavitev in okvir, ki je osnova vsega varnega kodiranja.

Ta načela in prakse odražajo, kako delujejo varnostno osveščeni razvijalci.

Ker razvijalci napišejo kodo, ki določa, ali je programska oprema varna, in ker uporaba osnovnih praks varnega kodiranja (validacija vhoda, parametrizirane poizvedbe, pravilna avtentifikacija, upravljanje skrivnosti) in načel (najmanjše pravice, zaščita v globino, varnost po zasnovi) preprečuje pogoste ranljivosti, in ker je razumevanje tega bistveno za gradnjo varne programske opreme, je razumevanje osnovnih praks varnega kodiranja temeljno, bistveno varnostno znanje — prakse in načela, ki omogočajo razvijalcem, da vgradijo varnost v svojo kodo, vse bolj pričakovano od vseh razvijalcev, in osrednje za proizvajanje programske opreme, ki ščiti svoje uporabnike in podatke.