Web 2.0 och säkerhet

Hela förmiddagen ägnade jag åt att följa debatten från panelen om säkerhetsproblemen med Web 2.0. Det var en mycket intressant debatt, med många inlägg från publiken. Det man konstaterade var ju inga direkta nyheter:

• Internet Explorer och Firefox har ca 90% av marknaden => huvudsakligen exploits mot dessa webbläsare medans de mindre, t.ex. safari och opera, klarar sig bättre.
• Kan inte lita på klientdatorn, över 600 miljoner datorer på nätet
• Många av dessa datorer är redan infekterade på något sätt
• Många av de senaste buggarna har länge varit kända av Microsoft och Mozilla, men de fixades inte pga andra prioriteringar

Det finns idag mer än 183 miljoner webbsites och uppskattningsvis 17 miljoner webbprogrammerare enligt Jerimiah Grossman (whitehat Security). Hur många av dessa vet hur man skriver säkerkod? Inte många och därför finns det mängder med hål i webbsiter idag!! Som tur är så börjar programmerare använda ramverk för utveckling vilket minskar riskerna, men det tar inte bort problemet med okunniga, ur ett säkerhetsperspektiv, utvecklare.

Nu är det dags att börja göra säkrare websiter, men problemet kvarstår ju för ingen tror väl att de 183 miljoner siter vi har idag kommer förändras över en kväll eller kanske överhuvudtaget.
Så hur skall vi hantera detta eftersom Internetanvändarna litar på de siter de besöker. Problemet ligger inte bara i koden för siten utan allt som visas och det kan vara information från tredje part, vem har kollat dess innehåll? Det ”nya” är Malvertizing, vilket är falska annonser från kända företag för att få kunden till något specifikt ställe på Internet. De är IP och tids anpassade så att det riktiga företaget inte skall upptäcka problemet eller de som ansvarar för annonsen! Big business over here…

Enda sättet att komma åt detta, som det ser ut idag, är att stänga av Javascript och använda program för att blockera annonser. Det fungerar ju inte utan kommer kollapsa en miljardindustri, säger Robert Hansson (sectheory). Hans förslag är att man skall införa någon form av kontent restriktion för kontext som en sandbox för webbläsare, men det ligger nog en bit in i framtiden och exakt hur man skall göra lyckades inte panelen bestämma sig för.


En annan sak som fick sig en känga var företaget HackerSAFE och panelen sa att om man har deras märke på sin hemsida så är det INTE värt något eftersom de inte stödjer ”cross-site”-check och därför inte kan kolla vad som kommer från tredjepart.