Om te zien, waarover het hier zou kunnen gaan, doe eens de volgende quick & dirty scans voor een willekeurige website:
https://privacyscore.org/ beta
https://webscan.upguard.com/#/ geeft directe bedreigingen weer, zoals openstaand voor MiM aanvallen etc.
https://webhint.io/scanner/ geeft een scala van aanbevelingen voor website verbetering (ook w.b. security)
https://observatory.mozilla.org/ SSL etc. aanwezige of ontbrekende security headers.
https://dnssec-analyzer.verisignlabs.com/ DNS-security
Het is een probleem voor de zaken, die de developer implementeert, omdat de schoorsteen via inkomsten via Google, facebook, Amazon en de clouddienst ook moet branden en dit zijn juist die zaken (third party code etc.), die sommige bewuste eindgebruikers willen blokkeren (onveilige advertentie links, kwaadaardige 3rd party code, etc.)
Ik zie bij toetsen "development" bijvoorbeeld, dat de student, die al daarvoor een netwerk-module heeft gehad, duidelijk voordeel heeft voor het maken van de desbetreffende toets. Zaken moeten men weten en er niet naar gokken (wat is de breedte van een array bijvoorbeeld). Gebruik van de juiste literatuur door security docenten is ook van belang.
Waarom moet je belangrijke zaken maar op eigen houtje je eigen maken, zoals scannen van javascript op zwakheden, XSS-Dom sources en sinks, cloaking (Google ziet andere code op de site als via Googlebot bijvoorbeeld), javascript code nalopen via Retire.js (als extensie). Vele tools tegenwoordig verkrijbaar als API.
Best policies, security header implementatie, gevaar via excessieve info proliferatie (shodannetje voor de CVE en snel opzoeken van een toepasbare exploit of uitbuiten bug - nieuwe veelbelovende tool is Greynoise). Verkeerde en zwakke implementatie van encryptie. Sub-domeinen bij goedkope clouddiensten, die ineens de eigen sub-domeinen niet meer blijken te zijn.
Security is vaak nog steeds een "last resort issue" en de discussie, waarom dit zo al jaren is, is hier nog nooit uitputtend en diepgaand gevoerd, alhoewel ik wel een mogelijk scenario met conclusies zou kunnen bedenken. Dit na 12 jaar vrijwillige 3rd party cold reconnaissance website security scanning en website error-hunting.
Niemand die kennelijk echt de kat de bel aan wil binden en de vinger op de zere plekken wil leggen, dus dan krijgen we een posting met als kop: "Lakse webmasters enz" en de goegemeente slik dit, zoals ze in het Engels zeggen met haak, dobber en lijn, voor zoete koek dus.
luntrus