GrammaTech gibt die Verfügbarkeit der Version 4.1 des Statischen Codeanalysewerkzeuges CodeSonar bekannt. Die neue Version ist für die Analyse von Quellcode verfügbar. CodeSonar 4.1 zur Überprüfung von Binaries wird in Kürze herausgegeben. CodeSonar 4.1 hat folgende neuen Features:

• Verteilte Analyse: Durch die verteilte Analyse wird die Analysegeschwindigkeit drastisch verbessert. Frühere CodeSonar-Versionen konnten zwar schon die Analyse parallel auf mehreren Kernen oder CPUs laufen lassen, allerdings nur auf der einer Maschine. Jetzt ist eine Verteilung der Analyse auf verschiedene Rechner eines lose gekoppelten Clusters möglich.
• Überprüfung von MISRA C-Regeln: CodeSonar 4.1 hat viele neue Warning-Klassen, inbesondere zur Überprüfung von MISRA C:2012 und MISRA C:2004.
• Warning-Clustering: Mit dieser neuen Option können vergleichbare Warnungen in Cluster zusammengefasst werden.
• Configuration Tool: Mit dem Configuration Tool wird das Aufsetzen eines neuen Hubs oder das Hinzufügen von neuen Maschinen zu einem Analysecluster vereinfacht.
• Authentifizierung: Beim Aufsetzen eines Hubs können jetzt Authentifizierungsmechanismen von Drittanbietern wie beispielsweise LDAP verwendet werden. Administratoren können mit der neuen Version ihre eigenen benutzerdefinierten Authentifizierungskomponenten hinzufügen.
• Analyse-Voreinstellungen: Über eine neue Kommandozeilenoption können Nutzer einen "vorgefertigten" Satz von Konfigurationsoptionen auswählen. Beispielsweise nutzt CodeSonar alle neuen Misra C-Checker über codesonar analyze Foo -preset misra ...
• Taint-Path-Checking: Die Benutzeroberfläche zeigt an, auf welchen Wegen sich nicht vertrauenswürdige Daten innerhalb einer Applikation ausbreiten können und welche Funktionen zur Laufzeit gefährdet sind.
• Score und Significance: Score ist ein Wert zur Klassifizierung von Warnings. Significance ist eine Eigenschaft einer Warnklasse wie Zuverlässigkeit, Sicherheit, Stil oder Redundanz.
• Unterstützung von neuen Plattformen: Neben den bisherigen Plattformen werden jetzt auch NetBSD und FreeBSD unterstützt.
• Zugangskontrolle: Der Zugang zu Informationen kann mit der neuen Version eingeschränkt worden. Diese Funktion wird in CodeSonar 4.2 durch eine komplette rollenbasierte Zugangskontrolle (full role-based access control, RBAC) ersetzt.

GrammaTech hat Arbeiten am PLINY-Projekt begonnen. Dieses Projekt, an dem auch drei amerikanische Universitäten mitarbeiten, soll automatisch Programmierfehler aufdecken und Bug-Fixes vorschlagen. PLINY ist Teil des "Mining and Understanding Software Enclaves"-Programms (MUSE) der DARPA (Defense Advanced Research Projects Agency).
Das Projekt soll mehrere Milliarden Codezeilen von Open-Source-Software durchsuchen und eine Datenbank mit deren Eigenschaften, Verhaltensweisen und Schwachstellen aufstellen.
Zur Bewerkstellung dieser Aufgabe greift das PLINY-Projekt auf das statische Codeanalysetool GrammaTech CodeSonar zurück. CodeSonar ist außergewöhnlich skalierbar, also zur Analyse von sehr großen Programmen geeignet und deckt darüber hinaus subtile Programmeigenschaften auf.     > weitere Information

Gemäß der von GrammaTech gesponsorten VDC-Studie "Software Quality and Security Challenges from Rapid Rise of Third-Party Code" berichten mehr als 40% der Entwickler über Terminverzögerungen bei embedded Softwareprojekten. Um Liefertermine einzuhalten, nutzen Entwicklungsteams trotz potentieller Probleme und Sicherheitsschwachstellen auch in Medizintechnik, Luft-/Raumfahrt, Automotive und Transport Fremdcode. In allen Industrien ist ein weiterer Anstieg der Nutzung von Third-Party-Code zu erwarten.
Quellcode-Analyse zur Aufdeckung von Fehlern und Sicherheitslücken ist bei Fremdcode nur dann möglich, wenn der Source-Code vorliegt. Sollte dieser nicht verfügbar sein, bietet die Binärcode-Analyse von GrammaTech Abhilfe. Diese Analyse liefert Qualitätsaussagen auf der Basis der Binarys des Fremdcodes.
Die Wichtigkeit einer automatisierten Testsuite zur statischen Analyse von Quell- und Binärcode wird durch die Tatsache unterstrichen, dass der Umfang von embedded Software doppelt so schnell steigt, wie die Anzahl der Softwareentwickler in diesem Bereich. Die Studie steht bei GrammaTech zum Download bereit.

Eine unabhängige Studie des "Info Technology Centers" eines führenden Automobilherstellers hat GrammaTech CodeSonar als bestes Werkzeug zum Auffinden von Sicherheitsproblemen in Embedded Software Applikationen bestätigt.
Die Studie bewertet messtechnisch die Leistung verschiedener Werkzeuge zur statischen Codeanalyse. CodeSonar und fünf weitere Werkzeuge für die statische Codeanalyse wurden in folgenden Kategorien beurteilt:

• Statische Speicherverwaltung
• Dynamische Speicherverwaltung
• Numerische Problemstellungen (überwiegend int, geringer Anteil float)
• Ressourcenmanagement
• Zeigerarithmetik
• Nebenläufigkeit
• Verletzung von Kodierrichtlinien
• Verschiedenes

In dem quantitativen Bewertungsverfahren belegte CodeSonar in drei Kategorien den ersten Platz: "Dynamische Speicherverwaltung", "Nebenläufigkeit" und "Verletzung von Kodierrichtlinien".
In drei weiteren Kategorien belegte CodeSonar gute zweite Plätze: "Statische Speicherverwaltung", "Ressourcenmanagement" und "Verschiedenes". Insbesondere wurde CodeSonars Fähigkeit zum Aufdecken von Nebenläufigkeitsproblemen hervorgehoben. CodeSonar fand mehr als doppelt so viele Nebenläufigkeitsfehler wie der Zweitbeste der Rangfolge.
Da uns ein "Mitbewerber" mit rechtlichen Schritten gedroht hat, verlinken wir nicht mehr auf die Studie. Der Hersteller des "Wettbewerbstools" verlangt bei Evaluierungen regelmäßig den Abschluß von Geheimhaltungsabkommen (!) und entzieht sich somit direkten Vergleichen ...