Del dato al punto peligroso

Un análisis de flujo de datos trabaja con tres piezas. La fuente es el punto donde entra un valor que no controla el programa: un parámetro de la petición, un archivo subido, un mensaje de otro sistema. Los pasos son las asignaciones y llamadas por las que ese valor viaja, incluso de una función a otra y de un archivo a otro. El sumidero es la línea donde el valor produce un efecto delicado: se ejecuta como consulta, como comando o como ruta de archivo. Si entre la fuente y el sumidero hay un saneador que la herramienta reconoce (una conversión, una validación), el recorrido se corta y no hay hallazgo.

El informe de Naranjal escribe ese recorrido línea por línea. Leerlo es lo que permite decidir dónde conviene arreglar: en el sumidero, en un paso intermedio o en la fuente.

Lo que distingue a un análisis de flujo de uno de patrones es que no se queda dentro de una función. En Naranjal el dato nace en un archivo, pasa por otro y se ejecuta en un tercero: ninguna de las tres funciones, mirada sola, parece grave. Por eso el informe lista los pasos intermedios, y por eso el arreglo puede ir en más de un sitio. También es la razón por la que a veces la herramienta pierde el rastro: cuanto más indirecta es la ruta, más fácil es que se corte.

Al revisar un hallazgo, recorre los pasos uno por uno y abre cada archivo que aparece; es el único modo de entender qué hace realmente el dato en el camino.

Un análisis estático reconoce lo que está escrito: un dato que va a un lugar delicado, una función peligrosa, un valor fijo donde no debería haberlo. No conoce las reglas del negocio: quién debe poder ver cada siniestro, qué estados son legales, si un reintegro es razonable. Y la ausencia de una comprobación no deja ninguna forma que una regla pueda reconocer. Tampoco ve lo que depende de la configuración en ejecución, ni el dato que hoy se guarda y mañana se usa desde otra pantalla, ni lo que un marco de trabajo resuelve por reflexión.

Esto no es un defecto de la herramienta sino el reparto de trabajo con la revisión humana, que es el tema de la sala 5.

A lo que el análisis no detecta se le llama falso negativo, y tiene una propiedad incómoda: no se puede contar con el propio análisis, porque por definición no lo vio. Solo se mide con otra fuente: la revisión manual, las pruebas autorizadas de seguridad o los incidentes. Un equipo maduro lleva una lista de lo que se le escapó y, por cada caso, se pregunta dos cosas: si una regla podría haberlo detectado (y entonces se escribe), o si pertenece a la revisión humana (y entonces se pone una pregunta en la lista del revisor).

La revisión manual de Naranjal contiene un caso detectado y otro que no. Saber cuál es cuál es el primer dato de esa lista.