Hacking 2.0 – oder wie sicher ist die Web 2.0 Technologie Ajax?

Mit dem Einzug „neuer“ Technologie ergeben sich regelmäßig auch thematisch neue Herausforderungen in Hacker– bzw. vielmehr Crackerkreisen. Aktuell betroffen ist natürlich auch das Thema Web 2.0 welches in letzter Zeit nicht nur bei Anwendern verstärkt Aufmerksamkeit erfährt. Aktuell beschäftigt sich u.a. der Amerikaner Billy Hoffman vom erst kürzlich von HP übernommenen Security Spezialist SPI Dynamics eingehend mit dieser Thematik und publiziert gerade sein demnächst erscheinendes Buch „Ajax Security“.

Verbunden mit einer anschaulichen Live-Demonstration von typischen Sicherheitslücken präsentierte er dies kürzlich auf der Security Konferenz  Black Hat. Das Thema Sicherheit und Web 2.0 war auch in weiteren Vorträgen Schwerpunkt auf der Konferenz, z.B. unter publikumswirksamen Titeln wie Vulns 2.0 in Web 2.0.

Verfrühte Ajax-ulation

Billy stellt zusammen mit seinem Kollegen Bryan Sullivan dem aktuellen Hype einige mahnende Worte in Bezug auf Sicherheit gegenüber. Das diese von der Presse teilweise als ernste Bedrohung bezeichnet werden (wie z.B. in der Computerwoche vor einigen Wochen geschehen) lässt hoffentlich keinen Anti-Hype entstehen. Die Grundaussage liegt eher darin, daß man bei Einsatz von Ajax ein gewisses Verständniss der Technologie mitbringen und und nicht blind jedem Trend hinterherrennen sollte.

Dazu gehört z.B., daß Ajax Requests konsequent auf Serverseite validiert werden. So ist zumindest qualitativ ein höheres Risiko weitgehend minimiert. Natürlich ist aber durch die quantitativ deutliche Zunahme der Kommunikation zwischen Browser und Applikationsserver ein erhöhtes Risiko und eine verstärkte Anfälligkeit für Sicherheitslücken zu verzeichnen – diesem Risiko müssen sich Entwickler und Auftraggeber bewusst sein und sollten dies in Ihre Zusammenarbeit einbringen. Hier gilt es insbesondere auch Sicherheitsrichtlinien und Abnahmemethoden zu schärfen, was aber bei neuen Technologien üblich sein sollte. Und natürlich sind die Risiken nicht ausschließlich auf Internetanwendungen beschränkt sondern beziehen sich insbesondere auch auf die noch immer stark zunehmende Anzahl an firmeninternen Applikationen.