SOA und Ajax sind ein Sicherheitsrisiko

Das Thema Sicherheit dürfe während der Entwicklung neuer Applikationen nicht außer Acht gelassen werden, warnten die Teilnehmer des Software Security Summit in Baltimore. Ansonsten könnten vergangene Fehler der Softwareentwicklung im Web leicht wiederholt werden – vor allem, wenn angesagte neue Features das Thema Sicherheit verdrängten.

“Ich möchte, dass die Leute über Zugangskontrollen, Fehlermanagement und andere Sicherheitsthemen nachdenken bevor sie einen neuen Web-Service entwickeln”, sagte Jeff Williams, CEO der Security-Services-Firma Aspect Security. Andernfalls entsteht durch SOAs, die Schwierigkeiten unter den Teppich kehren und nur die Interoperabilität der Applikationen in den Vordergrund stellen, ein System von unsicheren Services, die untereinander Informationen austauschen.

Auch bei dynamischen Web-Programmiersprachen wie Ajax müsse sorgfältig auf die Sicherheit geachtet werden, ergänzte Joe Basirico von der Firma Security Innovation. Ajax-Applikationen würden in kleinen Schritten auf Daten zugreifen, deshalb sei es schwierig, sichere Anwendungen zu entwickeln. “Wenn ein Angreifer den Aufbau der Datenabfrage herausfindet – diese hängt von Faktoren wie den abgefragten Daten und der notwendigen Autorisierung ab – kann er auch herausfinden, wie er ohne Autorisierung auf die Daten zugreifen kann.”