List yang berikut ini memberikan sebab-sebab mengapa para programer tidak memperhatikan masalah keamanan kode-kode yang ditulisnya. List ini cukup menarik untuk disimak terutama jika memang kita adalah seorang programmer yang kurang memperhatikan masalah sekuriti kode atau program yang kita tulis. List ini diperoleh dari sebuah buku karangan David A. Wheeler yang dapat diakses di personal websitenya.

• Tidak adanya kurikulum di sekolah mengenai bagaimana cara menulis program yang secure
• Buku-buku yang membahas mengenai masalah menulis program yang secure sangat jarang.
  (Rasanya saat ini sudah mulai banyak buku-buku yang membahas mengenai hal ini. CMIIW, please!)
• Program-program tidak di verifikasi secara formal.
  (Entah apa ini maksudnya)
• Khusus untuk bahasa pemrograman C, fungsi-fungsi yang menghandle string sangat tidak aman.
  (Semoga hal ini sudah obsolete mengingat buku ini revisi terakhir adalah tahun 2003)
• Programer tidak berpikir “multi-user” dimana user itu ada banyak dan bermacam-macam tingkah lakunya
• Programer adalah manusia dan manusia adalah pemalas sehingga menganut prinsip “yang penting jalan dulu, kalo ada error-error nanti aja lah. Cincai aja dulu!”
• Kebanyakan programer adalah bukan programer yang handal.
  (Nah lo, ketahuan deh belangnya nih gw)
• Kebanyakan programer bukan orang security sehingga memiliki cara berpikir tidak seperti seorang attacker.
• Kebanyakan orang-orang security bukanlah programer.
  (Wheeler sendiri tidak yakin dengan hal ini)
• Kebanyakan model keamanan komputer sangat buruk
• Untuk membetulkan bugs didalam software yang sudah jadi amat sangat sulit.
  (Kebayang banget kalo udah jadi dalam bentuk framework. Rasanya bila dalam pembuatan software mengikuti teknik software engineering, hal ini tidak begitu sulit. toh blue print nya sudah ada dan terdokumentasi dengan baik)
• Konsumen/client tidak peduli dengan masalah security.
  (karena itu para programer juga ikut-ikutan tidak mau pusing dengan masalah security ini)
• Untuk berkecimpung dengan masalah security memerlukan waktu yang tidak sebentar.
• Security berarti menambah proses testing.
  (dengan begitu menambah juga dana untuk proses testing tersebut)

Sekali lagi, buku ini terakhir direvisi pada tahun 2003, apakah sekarang masih seperti demikian adanya? Semoga tidak…

Referensi

Wheeler, D. A., 2003, “Secure Programming for Linux and Unix HOWTO“, Retrieved on July 28, 2009, accessible at http://dwheeler.com/secure-programs/Secure-Programs-HOWTO.html