数据的安全依赖于使用适当的、执行良好的密码学——构建算法的科学和艺术，使信息免受窥探和可能的恶意眼睛的攻击。
“密码学建立了信息的保密性和信息的完整性等属性，”Amit Seal Ami说。“它们是基于非常严格的数学原理。通常，软件工程师或程序员依赖于应用程序编程接口——有点像预构建的程序——他们用它来尝试在应用程序中实现这些属性。”
他解释说，开发人员对那些现成的、一应俱全的应用程序编程接口(api)的依赖，经常导致背离可靠的加密原理，因此导致机密数据暴露的时机成熟。
“所以，就好像他们试图做正确的事情，但却用了错误的方式，”Ami解释道。“这就是误用。然后，我们有加密api误用检测器，这是帮助我们发现软件中此类误用的分析工具。然而，这些加密探测器可能存在缺陷。如果我们不知道这些缺陷，我们就会有一种错误的安全感。”
Ami是威廉玛丽学院计算机科学系的博士研究生，也是论文“为什么密码探测器失败:密码误用检测技术的系统评估”的主要学生作者，他在电气和电子工程师协会(IEEE)第43届安全和隐私研讨会上发表了该论文。
论文的共同作者包括Ami的顾问Adwait Nadkarni和Denys Poshyvanyk，他们都是William & Mary计算机科学系的教员，以及三个CS博士生:Nathan Cooper, Kaushal Kafle和Kevin Moran。
Ami被选为2022年弗吉尼亚州联邦工程与科学(COVES)研究员，并在同年被授予弗吉尼亚州联邦联邦网络倡议(CoVA-CCI)论文奖学金，他表示，加密api探测器目前的状态包括大量令人不安的缺陷。
“我们正在努力做的是帮助人们制作更好的探测器——也就是说，可以在实践中发现滥用的探测器，”Ami解释道。
图片来源:威廉与玛丽学院
合作者着手调查加密api检测器的缺陷，这些检测器负责监管和纠正由于加密api滥用而导致的安全缺陷。他们建立了一个称为MASC的框架，用来评估许多加密api检测器在实践中的工作效果。
Ami说:“我们首先要做的是看看我们所知道的关于滥用的信息——加密api被使用和滥用的方式。”“但它们还有哪些可能被滥用的方式呢?”
通过使用MASC，合作者利用那些已知和建立的漏洞，并对它们进行调整，创造突变。然后，艾米说，他们用正在评估的探测器来研究这些突变。
他说:“然后我们试着看看探测器是否能发现那些突变或改变的误用案例。”“当他们做不到的时候，我们就知道那里出问题了。”
MASC框架揭示了探测器的缺陷:“探测器遗漏的一些漏洞有些明显，”Ami说。“但有些是非常明显的。”，也就是说，探测器应该能捕捉到。
合作者回到缺陷检测器的开发人员那里，讨论缺陷问题产生的原因和方式。艾米说，他们发现了观点上的差异。一些开发人员专注于技术，致力于基于安全遵从标准的结果。
他说:“另一方面，我们所做的是从敌对的角度看待这些工具。”“因为当人们试图利用缺点时，他们是不会友善的。”
该组织提倡范式转换:开发人员放弃以技术为中心的方法，转而采用更关注安全的方法。
“这就是我们想做的，”艾米说。“所有这些探测器在开发时都应该经过敌意审查，所以开发人员可以通过采用我们的方法使他们的工具更可靠。”
