Hoe (on)veilig is AJAX nu werkelijk?
AJAX (Asynchronous Javascript And XML) mag dan voor interactieve pagina's en applicaties zoals Gmail en Google Maps zorgen, de scripttaal wordt ook vaak als een beveiligingsrisico beschouwd. Ten onrechte, aldus WhiteHat Security. Websites zijn inderdaad onveilig, maar AJAX is niet de boosdoener.
AJAX maakt websites interactiever, maar dat is het enige. Er verandert niets op de webserver, waar de beveiliging hoort te zijn. Critici beweren dat AJAX voor een groter aanvalsoppervlak zorgt en allerlei andere problemen zoals toegenomen complexiteit, denial of service, cross-site scripting, afhankelijkheid van client security en meer introduceert. Deze problemen waren er ook al voor AJAX. WhiteHat gaat in dit artikel dan ook de strijd aan met de volgende AJAX mythes:
daarmee bedoel ik de uispraken van WhiteHat Security
nee, ja en nee, niet echt, nee, min of meer, hopelijke niet,
nee...
Met de eerste 'niet waar' ben ik het niet eens:
100% bestaat niet, foutloze software bestaat niet. Elke
functie vereist extra programmacode, dus in principe meer
kans op fouten met mogelijke beveiligingsrisico's.
Daarnaast heb je javascript nodig. Daarmee gaat nogal eens
wat mis. Als steeds meer websites javascript en ajax
gebruiken, ontstaat het risico dat javascript steeds meer
standaard aan staat in browsers. Alleen bewuste gebruikers
zijn niet te gemakzuchtig om zorgvuldig met javascript om te
gaan. Dus voor de grote massa mogelijk meer gevaar.
Met de tweede 'niet waar' ben ik het ook niet eens:
Elke keten is zo zwak als zijn sterkste schakel. Dus zowel
de server als de client als alles erop en er tussenin,
kunnen veiligheidsproblemen hebben. Dat wordt met de derde
'niet waar' min of meer bevestigd; het is blijkbaar toch
belangrijk de beveiliging van je client goed op orde te hebben.
Verder zegt-ie min of meer dat AJAX kan leiden tot slechte
beveiligings beslissingen. Dat lijkt me ook geen pre.
Dus ik sluit me aan bij de uitspraken van Anoniem op 01-12,
13.00.
eigenlijk niet gaan, bijvoorbeeld labs.google.com/suggest om
iets eenvoudigs te noemen. Je gaat niet na iedere
toetsaanslag de hele pagina refreshen. Het doel van AJAX is niet in de eerste plaats de databaseload te verlagen, hoe kom je daarbij?
Ik vind het geen erg sterk artikel: de interpretaties van de
zogenaamde `mythes' die worden `ontkracht' komen me wat
geforceerd verzonnen over eigenlijk. En soms lijkt hij de
stelling juist te bevestigen in plaats van te ontkrachten,
bijvoorbeeld mythe 1:
to publicly expose more functionality - which may introduce
new “server-side” vulnerabilities - this can hardly be
blamed on AJAX. New code has always meant an increased risk
of vulnerabilities.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
