Las implicaciones pueden ser arbitrariamente malas dependiendo de los recursos vulnerables a las condiciones raciales. Aquí hay una condición de carrera real que encontré. Este es uno de esos sitios donde puede ganar puntos que pueden canjearse por artículos valiosos como tarjetas de regalo. La condición de carrera permite a los usuarios canjear puntos varias veces. Eso está muy mal.
Aquí hay un pseudocódigo:
redeem_reward (user_id) {
info = sql (“seleccione correo electrónico, saldo de usuarios donde user_id = {0}”,
user_id);
if (info.balance> 5000) {
http_post (“Página en tarjeta de regalo.ejemplo”,
{“valor”: 5.00, “correo electrónico”: info.email},
success_callback, error_callback, info)
} más {
notify_user (“Necesitas más puntos”);
}
}
success_callback (respuesta, información) {
sql (“update user_info set balance = {1} donde user_id = {0}”,
user_id, info.balance – 5000);
notify_user (“Tiene una nueva tarjeta de regalo” + respuesta.mensaje);
}
- ¿Qué tan útil es IDS como parte de una arquitectura de seguridad SCADA en un centro de control?
- ¿Por qué tengo tantos eventos de seguridad registrados con el usuario 'N / A'?
- ¿Cuáles son las desventajas del cifrado de 128 bits?
- ¿Cuál es el mejor software antivirus disponible en Torrentz?
- ¿Cuál es el mejor navegador de seguridad?
La condición de carrera aquí significa que si entran dos (¡o más!) Solicitudes simultáneas para canjear una tarjeta de regalo, todas serán procesadas, incluso si el saldo es de solo 5001 puntos. También tenga en cuenta que la condición de carrera se aplica no solo a la emisión simultánea de solicitudes de tarjeta de regalo, por ejemplo, sino a la actualización del saldo (cada devolución de llamada utiliza un valor obsoleto para el saldo al realizar la actualización). Eso significa que no podrá detectar esto por un saldo de puntos negativo.
Para hacer esto correctamente, debe verificar y actualizar el saldo atómicamente.
Tenga en cuenta que este código no es del código del sistema operativo. Una condición de carrera en el código de la plataforma puede ser aún peor porque puede manifestarse como un error de la aplicación que el desarrollador de la aplicación no puede solucionar. Imagine que hay una condición de carrera en su servidor SQL de elección que a veces maneja incorrectamente las actualizaciones de transacciones. Eso podría causar un error como el anterior que le resultaría muy difícil encontrar.
