19

Estava eu lendo uma resposta sobre transformar vetores em lista em Java, quando nos comentário o AR me direciona para os códigos fonte da JDK9. Lá nos fontes, deparo-me com o seguinte comentário:

ListN(E... input) {
  // copy and check manually to avoid TOCTOU

  @SuppressWarnings("unchecked")
  E[] tmp = (E[])new Object[input.length]; // implicit nullcheck of input
  for (int i = 0; i < input.length; i++) {
    tmp[i] = Objects.requireNonNull(input[i]);
  }
  this.elements = tmp;
}

Então, me veio a dúvida "o que é TOCTOU"? A referência que tem aqui no SOpt é essa resposta (para a query ?q=toctou em 2019-02-04 antes das 9h GMT-3).

O @Anderson Carlos Woss me apontou o significado: hora de checagem/hora de uso (time of check to time of use, do original em inglês). Ele acontece quando você checa os dados em um momento e, na hora de usar os dados pra valer, o sistema está em um estado diferente e que, portanto, torna a checagem inválida.

Então, fiquei me questionando:

  • como identificar que caí neste anti-padrão?
  • tem algum padrão para evitar cair neste anti-padrão?
  • se eu pegar um código que identifiquei que está com TOCTOU, tem algum algoritmo para que eu altere o código de modo a removê-lo?
5
  • 2
    Também fiquei com essa dúvida quando li o código fonte, e até ia fazer essa pergunta aqui, mas vc foi mais rápido :)
    – hkotsubo
    Commented 4/02/2019 às 14:22
  • 2
    Hahahaha! Rapidez no gatilho =D EU quase que te pergunto sobre isso, mas aí percebi que fugia demais da resposta original Commented 4/02/2019 às 14:25
  • Praticamente duplicata: pt.stackoverflow.com/q/159342/101
    – Maniero
    Commented 12/02/2019 às 7:09
  • @Maniero de fato. O TOCTOU é uma condição de corrida (acho que um tipo específico de). Identificar um TOCTOU, então, é identificar condições de corrida que alterem o valor interno de um programa depois de verificarem seu estado. Aqui, esperava ver uma resposta falando de IPC e de multi-thread; e para IPC, esperava uma resposta voltada a tratar no lado remoto a verificação e alteração do valor interno de modo atômico. Vou ver com mais carinho essa questão da condição de corrida para poder fechar esta questão aqui quando acabar a bounty Commented 12/02/2019 às 9:05
  • Se lhe interessar posso colocar um exemplo que acabou de ocorrer em código comercial cujo o objeto é a intercomunicação de variáveis entre escopos distribuídos entre diferentes AppDomains? Commented 13/02/2019 às 13:05

1 Resposta 1

18
+25

TOCTOU é acrônimo para Time Of Check to Time Of Use. É um bug do tipo condição de corrida causado entre a checagem de uma condição e a utilização dos resultados da checagem.

Quantos as suas questões:

Como identificar que caí neste anti-padrão?

A maioria dos códigos que fazem acesso ao sistema de arquivos em baixo nível estão comprometidos com TOCTOU e alguns são vulneráveis a ataque.

Código em C aparentemente inocente mas que está vulnerável ao TOCTOU:

// access retorna 0 em caso de sucesso
if(!access(file, W_OK)) {
   f = fopen(file, "wb+");
   write_to_file(f);
} else {
   fprintf(stderr, "Permissão negada ao abrir o arquivo %s.\n", file);
}

Como explorar o TOCTOU da linha de comando.

$ touch dummy; ln –s dummy pointer
$ rm pointer; ln –s /etc/passwd pointer

Nesse caso é um ataque fictício da linha de comando para obter as credenciais locais de um arquivo local. No computador pessoal isso não é tão preocupante, em redes corporativas isso é um problema, mas no caso de um CGI escrito em baixo nível e que faça acesso ao sistema de arquivos pode comprometer um servidor inteiro.

Tem algum padrão para evitar cair neste anti-padrão?

Evite fazer acessos a arquivos de sistema em baixo nível. Ao invés de usar um mecanismo de checagem use tratamento de exceções e se tiver em ambiente Windows ou Mono use File Handlers para acessar o sistema de arquivos.

Em Java (ou outra linguagem de alto nível) a vulnerabilidade ao TOCTOU não pode ser explorada por terceiros, porém pode congelar uma aplicação (deadlock) como é caso do exemplo dos vetores caso a função em questão seja acessado por dois ou mais threads. Então em código multithreading use lock e syncrhonize nos trechos em houver concorrência e ao invés da checagem de uma condição, force um tratamento de erro.

Evite coisas como:

if (file is null) {
  // Menssagem de erro
} else {
  // realize acões com o arquivo
}

E prefira:

try
  file.Open("")
  // realize ações com o arquivo
  ...
catch (){
  // Mensagem de erro
}

Se eu pegar um código que identifiquei que está com TOCTOU, tem algum algoritmo para que eu altere o código de modo a removê-lo?

Transforme a checagem em um tratamento de erro e aplique mecanismos de sincronização que a linguagem oferecer.

1

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .