Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Scopri in che modo CodeQL consente di ridurre la superficie di attacco per Windows assicurando che i driver di terze parti soddisfino standard di sicurezza elevati. Questo articolo illustra i vantaggi dell'uso di CodeQL per la conformità WHCP.
Un passaggio nell'impostazione di questa barra di sicurezza è il requisito del Programma di compatibilità hardware windows (WHCP) che indica che tutti gli invii di driver devono usare il motore CodeQL nel codice sorgente del driver e correggere eventuali violazioni considerate Must-Fix.
Informazioni sui concetti di CodeQL
CodeQL è un motore di analisi statico usato dagli sviluppatori per eseguire l'analisi della sicurezza sul codice all'esterno di un ambiente live.
CodeQL inserisce il codice durante la compilazione e compila un database da esso. Il database diventa una directory contenente dati su cui è possibile eseguire query, un riferimento all'origine e file di log. Una volta compilato il database, è possibile eseguirne l'analisi usando query CodeQL (denominate anche controlli o regole) che determineranno se il codice sorgente contiene violazioni o vulnerabilità di sicurezza.
CodeQL offre una libreria di query standard che controllano la correttezza e la semantica del linguaggio, offrendo un ottimo valore agli sviluppatori che vogliono garantire che il codice sia privo di bug e vulnerabilità.
CodeQL offre anche l'opzione per compilare query personalizzate.
Per altre informazioni sulla scrittura di query personalizzate, vedere Scrittura di query nella documentazione di CodeQL.
CodeQL fornisce anche uno strumento da riga di comando CodeQL per eseguire azioni CodeQL o analisi su larga scala.
Per altre informazioni sulla documentazione dell'interfaccia della riga di comando di CodeQL, vedere Introduzione a CodeQL.
Come CodeQL migliora la sicurezza dei driver
CodeQL, di GitHub, è un potente motore di analisi del codice semantico e la combinazione di una vasta gamma di query di sicurezza di alto valore insieme a una solida piattaforma lo rendono uno strumento prezioso per la protezione del codice driver.
L'uso di CodeQL per i test WHCP è consentito nel Contratto di licenza per l'utente finale di Hardware Lab Kit (HLK).
Per i partecipanti a WHCP, l'EULA di HLK sovrascrive i termini e le condizioni di CodeQL di GitHub indicando che CodeQL può essere usato durante l'analisi automatizzata, l'integrazione continua o la distribuzione continua, come parte dei normali processi di progettazione ai fini dell'analisi dei driver da inviare e certificati come parte del WHCP.
Il test del logo degli strumenti statici applica questo requisito per analizzare il codice sorgente del driver e correggere eventuali violazioni da correggere obbligatoriamente.
Importante
Il programma di compatibilità hardware Windows richiede codeQL per i test STL (Static Tool Logo) nei sistemi operativi client e server. Continueremo a mantenere il supporto per SDV e CA su prodotti meno recenti. Incoraggiamo vivamente i partner a esaminare i requisiti di CodeQL per il test del logo dello strumento statico.
EULA HLK e CodeQL
L'utilizzo di CodeQL allo scopo di certificare per il test del programma di compatibilità hardware Windows è accettabile nel Contratto di licenza per l'utente finale di Hardware Lab Kit (HLK ).
Per i partecipanti a WHCP, il contratto di licenza di HLK ha la precedenza sui termini e le condizioni di CodeQL di GitHub, consentendo l'uso di CodeQL durante l'analisi automatizzata, CI, o CD come parte dei normali processi di ingegneria informatica per analizzare i driver inviati per la certificazione WHCP.
Per gli utenti che seguono per l'uso generale, leggere i termini e le condizioni di GitHub CodeQL e/o contattare CodeQL.