Fundamentos de las pruebas de caja blanca: identifica riesgos de seguridad al inicio del SDLC

En lo que respecta a la seguridad del software, el 85 % de los usuarios cree que es responsabilidad de quienes están más cerca del código: los desarrolladores y los ingenieros. No es de extrañar, ya que la mayoría de las vulnerabilidades se originan al principio del ciclo de vida del desarrollo de software, incluso antes de que el software se implemente en producción. Para alguien que no conoce internamente los sistemas o el software que se está probando, muchas de estas vulnerabilidades también pueden ser muy difíciles de detectar.

Aquí es donde entran en juego las pruebas de caja blanca. En este artículo, exploraremos el método de pruebas de seguridad de aplicaciones de caja blanca, cómo realizarlo y sus ventajas y desventajas.

Explicación de las pruebas de caja blanca

Diagrama de pruebas de caja blanca

La característica principal de las pruebas de caja blanca es que permiten "ver a través" del software; por eso también se conocen como pruebas de caja de cristal, caja transparente, caja clara y caja abierta. Como quien realiza la prueba o la herramienta conoce la estructura interna y el funcionamiento del software, además de saber qué se supone que debe hacer el código, se puede evaluar la seguridad del software examinando qué tan bien resiste los ataques.

Las pruebas de caja blanca son lo opuesto a las pruebas de caja negra. En las pruebas de caja negra, como su nombre lo indica, quien evalúa la seguridad no tiene acceso al software ni a las redes y, por lo tanto, sabe poco o nada sobre el objetivo. Quien realiza la prueba de penetración evalúa la aplicación para descubrir vulnerabilidades de la misma manera que lo haría un atacante externo.

El propósito de las pruebas de caja blanca

¿Por qué se deben realizar pruebas de caja blanca en el software? ¿Por qué son importantes? La respuesta tiene dos partes:

1. Permiten descubrir riesgos de seguridad.

Según el informe sobre el estado de la seguridad de las aplicaciones nativas de la nube, más del 56 % de los usuarios sufrió un incidente relacionado con una configuración incorrecta o una vulnerabilidad conocida sin parchear en sus aplicaciones nativas de la nube. La seguridad de las aplicaciones es fundamental, y descuidarla puede tener consecuencias desastrosas. Conocer a tiempo los errores de seguridad puede ayudar a eliminar riesgos y evitar el alto costo de las brechas de seguridad, que pueden erosionar la confianza de los clientes en tu capacidad para proteger sus datos (e incluso dar lugar a demandas).

Muchas vulnerabilidades de seguridad, como la deserialización insegura, las configuraciones incorrectas, la exposición de secretos y el control de acceso deficiente, son resultado de errores de programación en el código. Sin pruebas de caja blanca, es difícil corregir los riesgos que plantean estas vulnerabilidades.

2. Permiten detectar errores y mejorar la calidad.

Los equipos de software trabajan con metodologías ágiles y publican actualizaciones con frecuencia, basadas en los comentarios de los usuarios y los cambios del mercado. Se deben realizar actualizaciones y cambios con regularidad sin perjudicar las funciones existentes. A los usuarios nada les molesta más que una actualización que afecta funciones populares. Las pruebas de caja blanca son fundamentales para detectar a tiempo errores y cambios que rompen la compatibilidad del software.

En resumen, las pruebas de caja blanca son esenciales para detectar errores, posibles brechas de seguridad y problemas de rendimiento desde el inicio.

Tipos de pruebas de caja blanca

Hay muchos tipos de pruebas de caja blanca:

• Pruebas de ejecución o unitarias: este tipo de pruebas de caja blanca consiste en ejecutar una parte del código y comparar el resultado con el esperado. Si no se obtiene el resultado previsto, significa que hay un defecto que se debe corregir. Las pruebas de ejecución se realizan de forma continua.

• Pruebas estáticas o análisis estructural: consisten en analizar cuidadosamente una base de código para encontrar errores y vulnerabilidades sin ejecutar el código. Por ejemplo, quien realiza la prueba podría analizar una base de código con herramientas de seguridad de aplicaciones estáticas (SAST) para identificar vulnerabilidades. Con SAST, se analiza la aplicación a fondo a partir de hallazgos específicos, como el análisis de configuración, el análisis semántico y el análisis del flujo de datos, entre otros, para mantener seguro el código fuente.

• Pruebas de mutación: por lo general, se realizan en la etapa final. Incluyen una revisión general de errores y un análisis para determinar las estrategias de programación óptimas para ampliar el programa.

¿Qué evalúan?

Primero, para realizar pruebas de caja blanca, debes entender el software que estás probando y conocer el código y su comportamiento esperado. El siguiente paso es crear casos de prueba escribiendo código adicional para comprobar dónde podría fallar la ejecución y dónde podrían aprovecharse las vulnerabilidades.

Por lo general, las pruebas de caja blanca abarcan lo siguiente:

• Brechas de seguridad internas

• Flujo de entradas específicas a través del código

• Resultados esperados e inesperados

• Rutas de código defectuosas o mal estructuradas

• Lógica de los ciclos condicionales

• Comportamiento de cada función y clase

• Cómo maneja el software entradas específicas

Técnicas de pruebas de caja blanca

Las pruebas de penetración de caja blanca son una parte fundamental de las pruebas de seguridad, ya que ofrecen un análisis completo de las vulnerabilidades internas y externas. La colaboración entre quienes realizan pruebas de seguridad y los desarrolladores permite comprender mejor el sistema y las posibles formas de explotarlo. Por ejemplo, una técnica de pruebas de caja blanca podría consistir en verificar la seguridad y confiabilidad de una aplicación bancaria y asegurarse de que no haya brechas en la lógica de negocio.

Entre las técnicas más comunes de las pruebas de caja blanca se incluyen:

• Cobertura de condiciones: técnica que se usa para probar las variables de una subexpresión mediante condiciones lógicas.

• Cobertura de sentencias: esta técnica consiste en ejecutar un conjunto de pruebas sobre las sentencias del código, lo que suele conocerse como cobertura de líneas. Cada sentencia se prueba al menos una vez.

• Cobertura de ramas: quienes realizan las pruebas usan esta técnica para comprobar que cada rama del código se pruebe al menos una vez.

• Cobertura de rutas: por lo general, se realiza para probar cada ruta individual de una aplicación.

• Pruebas del flujo de datos: se usan para examinar el flujo de datos en el software con respecto a las variables del código.

Pruebas de caja blanca frente a pruebas de caja negra

Las pruebas de caja blanca y de caja negra son métodos para detectar fallas en el software. Aunque ambas son técnicas de prueba importantes, son muy diferentes. La siguiente tabla muestra sus principales diferencias.

Diagrama de pruebas de caja negra

Por lo tanto, las pruebas de caja blanca y de caja negra no son intercambiables. No basta con realizar solo una de las dos. Por el contrario, estas técnicas se complementan para ayudar a ofrecer un mejor software. Cuando se combinan las técnicas de caja blanca y de caja negra para probar el software, el método resultante se conoce como pruebas de caja gris.

Ventajas y desventajas de las pruebas de caja blanca

Las pruebas de caja blanca tienen sus propias ventajas y desventajas.

Ventajas:

• Quien realiza la prueba conoce de antemano el sistema que va a probar, lo que ahorra mucho tiempo de investigación y recopilación de información.

• Permiten realizar pruebas más exhaustivas y descubrir más riesgos de seguridad que con cualquier otra técnica.

• Por su naturaleza de bajo nivel, se pueden integrar en las canalizaciones de CI con ayuda de herramientas de seguridad automatizadas, como SonarQube.

• Esta técnica está más cerca del código, por lo que los desarrolladores pueden corregir fácilmente las vulnerabilidades que se descubren.

Desventajas:

• Por su minuciosidad, es la técnica de prueba que más tiempo y dinero requiere.

• Requiere un conocimiento más profundo del sistema que se prueba.

Conclusión

Por su propia naturaleza, las pruebas de caja blanca son fundamentales para adoptar la cultura DevOps en el ciclo de vida del desarrollo seguro de software. Como se pueden automatizar, suelen ejecutarse en las canalizaciones de CI para que los desarrolladores reciban comentarios rápidos mientras revisan su código.

Las herramientas de pruebas de seguridad de caja blanca, como Snyk Code, incorporan las pruebas estáticas de seguridad de aplicaciones a la canalización de DevSecOps y ofrecen a los desarrolladores la máxima cobertura de pruebas necesaria para identificar riesgos de seguridad a tiempo durante el proceso de desarrollo.