FBI wil einde aan cross-site scripting: hoort niet in software thuis
Fabrikanten, softwarebedrijven en ontwikkelaars moeten ervoor zorgen dat hun producten geen cross-site scripting (XSS) bevatten. Dergelijke kwetsbaarheden zijn te voorkomen en horen niet in software thuis, zo stellen de FBI en het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security. Beide overheidsinstanties hebben vandaag een 'Secure by Design Alert' afgegeven waarin ze oproepen om een einde aan cross-site scripting te maken.
Cross-site scripting is een beveiligingsprobleem dat al decennia bekend is en ervoor zorgt dat aanvallers bijvoorbeeld malafide code op een kwetsbare website of webapplicatie kunnen 'injecteren' die vervolgens in de browser van bezoekers wordt uitgevoerd. Zo is het bijvoorbeeld mogelijk om cookies te stelen en toegang tot een account te krijgen.
"Cross-site scripting kwetsbaarheden doen zich voor wanneer leveranciers invoer niet goed valideren, sanitizen of escapen. Dit zorgt ervoor dat aanvallers malafide scripts in webapplicaties kunnen injecteren, om zo data in verschillende contexten te manipuleren, stelen of misbruiken. Hoewel sommige ontwikkelaars input sanitization technieken toepassen om XSS-kwetsbaarheden te voorkomen, is deze aanpak niet onfeilbaar en moet met aanvullende beveiligingsmaatregelen worden versterkt", zo stellen de FBI en het CISA.
De Amerikaanse overheidsdiensten doen ook verschillende aanbevelingen om cross-site scripting te voorkomen, zoals het herschrijven van dreigingsmodellen, controleren dat software invoer goed valideert, het gebruik van moderne webframeworks, wanneer frameworks niet zijn te gebruiken het adequaat escapen en sanitizen van weergegeven gebruikersinvoer, uitvoeren van code-audits en het tijdens de ontwikkelcyclus uitvoeren van beveiligingstests.
De hamvraag is natuurlijk: Wat kunnen we doen om te zorgen dat we wél gaan leren en die soort basisfouten niet meer maken?
Wat hadden ze dan moeten doen? Gewoon lekker doorgaan op bestaande voet?
Schreeuwen aan de zijlijn is altijd makkelijk, maar zelden worden er andere oplossingen voorgedragen.
De hamvraag is natuurlijk: Wat kunnen we doen om te zorgen dat we wél gaan leren en die soort basisfouten niet meer maken?
Reken maar dat bedrijven dan ineens beter hun best gaan doen!
En dan zullen er een heel stel failliet gaan. Prima! daar leert de rest dan van.
Je ziet het met GDPR.
We hadden in Nederland al lang soortgelijke wetgeving, maar de boetes waren zeer gering. En er werd niet op gehandhaafd. Dus niemand die zich er druk om maakte.
Maar door de zeer hoge boetes van GDPR en enige handhaving werden bedrijven bang en gingen ze het wel serieus nemen.
Zachte heelmeesters maken stinkende wonden.
Het is belachelijk dat dit soort bekende kwetsbaarheden die makkelijk voorkomen kunnen worden nog steeds zoveel problemen veroorzaken.
Wat hadden ze dan moeten doen? Gewoon lekker doorgaan op bestaande voet?
Schreeuwen aan de zijlijn is altijd makkelijk, maar zelden worden er andere oplossingen voorgedragen.
Dat lekker doorgaan op bestaande voet doen we al 25+ jaar, daar zal deze opmerking geen enkele verandering in brengen. Dus ja, we gaan gewoon lekker door.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Senior Security Specialist
NCSC
Als senior security specialist bij het Nationaal Cyber Security Centrum (NCSC) in Den Haag doe jij er alles aan om digitale drei-gingen te voorkomen en incidenten te lijf te gaan. Een uitdagende baan waarin je als senior security specialist bij het Nationaal Cyber Security Centrum op nationaal niveau een bijdrage levert aan de digitale veiligheid van Nederland
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.