211service.com
Mashup-beveiliging
Mashups – online applicaties die data en tools van verschillende websites combineren – worden steeds nuttiger. Hoewel ze begonnen als eenvoudige consumentenprogramma's, zoals: een gereedschap die woningvermeldingen plaatste van Craigslist op Google Maps , zijn mashups complexer geworden en worden ze ook populair bij bedrijven. Naarmate er een groeiend aantal tools wordt vrijgegeven om mensen te helpen gemakkelijk mashups te bouwen, kijken experts ook hoe ze de beveiligingsrisico's kunnen voorkomen.
Een onzekere mix: De huidige methoden voor het maken van mashups, die gegevens en tools uit meerdere bronnen op het web combineren, kunnen beveiligingsproblemen veroorzaken. Experts zoeken naar manieren om de brede creatieve vrijheid die mashups bieden te behouden en tegelijkertijd veiliger te maken in het gebruik. Dit is met name van belang voor zakelijke gebruikers die mashups willen bouwen.
Veel mashups delen alleen tekst, zegt David Boloker, medeoprichter van de OpenAjax Alliance en IBM's CTO van opkomende internettechnologieën. Ze riskeren in het slechtste geval onjuiste of auteursrechtelijk beschermde gegevens. Naarmate mashups echter complexer worden, zijn ze begonnen met het opnemen van computercode uit meerdere bronnen. Op dit moment zijn we nu bezig met de overbrugging naar niet-vertrouwde code, zegt Boloker. Een vastgoedbedrijf wil bijvoorbeeld misschien een mashup om te werken met vermeldingen uit een interne database. De mashup kan de aanbiedingen door tools van derden laten lopen om ze te vergelijken met de prijzen van concurrenten in dezelfde postcodes, en vervolgens een extra tool van derden gebruiken om alle huizen op de markt in kaart te brengen. Zonder beveiligingsmaatregelen zou deze mashup de interne database van het bedrijf kwetsbaar kunnen maken voor kwaadaardige code in een van die tools van derden.
Webbrowsers zijn niet ontworpen met mashups in gedachten, en de wratten zijn er vanaf de eerste dag geweest, zegt Boloker. Browsers bevatten een beveiligingsfunctie, het same-origin-beleid genaamd, die bedoeld is om te voorkomen dat kwaadaardige code die op de ene site wordt gehost, gegevens, zoals opgeslagen inloggegevens, van een andere site haalt. Het same-origin-beleid voorkomt dat websites van het ene domein gegevens opvragen die bij een ander domein horen.
Echter, Helen Wang , senior onderzoeker bij de systeem- en netwerkgroep bij Microsoft Onderzoek , legt uit dat hetzelfde-oorsprongbeleid faalt door webapplicaties tegenwoordig te dwingen beveiliging of functionaliteit op te offeren. Ze zegt dat veel geweldige functionaliteit, zoals die van mashups, voortkomt uit het gebruik van tools uit meerdere bronnen. Het probleem is dat wanneer de maker van de website code insluit die is geschreven door een derde partij op haar site, het beleid van dezelfde oorsprong geen bescherming meer biedt en dat de ingesloten code waarschijnlijk toegang heeft tot informatie die is opgeslagen op de site van de maker. Als de maker van een forum bijvoorbeeld een kaarttoepassing op haar site insluit, kan de code in de kaarttoepassing mogelijk toegang krijgen tot inloggegevens voor het forum. Mashup-makers, zegt Wang, geven de veiligheid op door die risico's te accepteren en tools van derden te vertrouwen, of ze geven functionaliteit op door zichzelf het gebruik van niet-vertrouwde tools te ontzeggen.
Chuck Willis, hoofdbeveiligingsadviseur voor Mandiant , een informatiebeveiligingsbedrijf, zegt dat veel ontwikkelaars graag zien dat sommige van de controles, zoals het beleid voor dezelfde oorsprong, worden versoepeld. De gemiddelde gebruiker heeft dingen nodig om te blijven zoals ze zijn, zegt hij, omdat de meeste gebruikers de gevolgen van toegang tot tools van derden niet begrijpen. Maar pogingen om bestaande beveiligingen te versoepelen, moeten met zorg worden benaderd.
Wang van Microsoft heeft gewerkt aan het oplossen van het probleem door browsers een manier te bieden om code van een derde partij te herkennen en die code anders te behandelen dan die van de hostwebsite. Ze stelt voor om code van derden in een sandbox-tag te plaatsen, die zou fungeren als een soort eenrichtingsglas. Het zou de grotere website in staat stellen gebruik te maken van de code in de sandbox, maar die code behandelen als ongeautoriseerde inhoud, zonder autoriteit buiten de sandbox. Alle informatie die de code van derden nodig heeft, kan in de sandbox worden opgenomen. Om deze oplossing echter effectief te laten zijn, moet de sandbox-tag een geaccepteerde webstandaard worden. Wang heeft een prototype van Internet Explorer gebouwd dat de tag herkent, maar ze merkt op dat het even zal duren voordat de tag in alle browsers is geadopteerd.
Eerder deze maand bracht IBM een beveiligingstool uit genaamd SMash (afkorting van veilige mashups) die tot doel heeft het probleem op te lossen zonder de browser te veranderen. Met SMash kan content uit meerdere bronnen op één pagina worden weergegeven en kunnen tools op een veilige manier communiceren, legt Larry Koved uit, Web 2.0-beveiligingswetenschapper bij IBM Research. Een beveiligd communicatiekanaal bewaakt de informatie die tussen tools wordt verzonden, terwijl hun afzonderlijke identiteiten en afzonderlijke sets machtigingen behouden blijven. Een maker van mashups die SMash gebruikt, verbindt elke tool met een hub die vervolgens de berichten controleert die tussen tools worden verzonden, op zoek naar verdachte activiteiten. Koved zegt dat elke tool in de mashup kan bepalen hoe de gegevens worden getransformeerd en gepresenteerd.
Smash, zegt Boloker, ruilt de mogelijkheid in om widgets nauw met elkaar te verbinden binnen een mashup om het veilig en gemakkelijk te maken te houden. IBM is van plan om SMash op te nemen in zijn Lotus Mashups-product, dat deze zomer wordt uitgebracht, en het bedrijf heeft de code ook gedoneerd aan de OpenAjax Alliance, waardoor elke mashup-maker het kan gebruiken.
Chris Warner, directeur marketing bij mashup maker JackBe , zegt over bestaande aanbiedingen: Over het algemeen is mashup-beveiliging nog steeds een beetje een Wild West. Als lid van de OpenAjax Alliance, zegt hij, is JackBe van plan om SMash en andere standaarden die via de alliantie worden vrijgegeven, te ondersteunen. Hij voegt eraan toe dat de volgende stap voor de mashup-industrie is om ervoor te zorgen dat we een universeel beeld van beveiliging ontwikkelen.