Sichere Webanwendungen schnell + kompakt

Web Security ist ein wichtiges Thema, wenn es um die Programmierung leistungsfähiger Webapplikationen geht. Dabei spielt es keine Rolle, ob es sich um die Verarbeitung sensibler Daten, wie z.B. beim Onlinebanking, oder lediglich um ein CMS oder Forum handelt. Die kleinste Nachlässigkeit gefährdet nicht nur die Applikation und dessen Benutzer, sondern auch den Server.

Das vorliegende Buch gibt einen schnellen Überblick über die bekannten Angreifermethoden und stellt deren Funktionsweisen dar. Es werden Maßnahmen erläutert, wie Sie sich im Falle eines Angriffs schützen können.

Kapitel 3 Sicherheitslücken (S. 21-22)

Eine Sicherheitslücke beschreibt einen Fehler in einer Applikation, durch den ein bösartiges und schädliches Programm oder ein Angreifer die Kontrolle über diese übernehmen und eventuell in die Betriebssystemebene eindringen kann.

Eine solche Sicherheitslücke entsteht durch einen Programmfehler. Da umfangreiche Applikationen normalerweise aus enorm viel Quellcode bestehen, ist es ziemlich kompliziert, eine solche Applikation direkt während der Entwicklung fehlerfrei zu erstellen. Auf eine möglichst fehlerfreie Entwicklung haben verschiedene Faktoren einen großen Einfluss. Beispielsweise spielen Zeit und Qualifikation der Entwickler eine sehr große Rolle.

Die meisten Schwachstellen resultieren aus Zeitdruck, mangelnder Qualifikation und nicht ausreichendem Sicherheitsbewusstsein seitens des Entwicklers. Eine zu Beginn komplett fehlerfreie Entwicklung ist utopisch. Vor allem bei komplexeren Applikationen entwickeln diese schnell eine große Eigendynamik, aufgrund derer nicht alle Fehler im Entwicklungsstadium erkenn- und entfernbar sind. Statistisch gesehen erzeugt ein Entwickler pro tausend Zeilen Quellcode einen Fehler. Größere Projekte erreichen in der Regel ohne Weiteres hunderttausende Zeilen. Bei fünfhunderttausend Zeilen kann also schon grob mit fünfhundert Fehlern gerechnet werden.

Das erscheint auf Anhieb enorm viel, ist in der Praxis aber „normal". Während der Alpha- und Beta-Stadien des Entwicklungsprozesses sollten solche Fehler eigentlich aufgespürt werden. Allerdings ist es nicht zu erwarten, dass in diesen Stadien alle Fehler aufgespürt und behoben werden. Hierbei spielt beispielsweise auch die Eigendynamik eine große Rolle: Viele Fehler können erst nach einer längeren Laufzeit oder in zuvor unvorhersehbaren Fällen auftreten. Es kann durchaus passieren, dass eine geringe Anzahl von Fehlern nie entdeckt werden, da entweder das Ausmaß zu gering ist oder der Fehler erst durch gezielte Provokation bzw. Penetration (beispielsweise von einem Angreifer) entsteht.

Auch wenn hier von so auffällig vielen Fehlern die Rede ist, die während der Entwicklung bereits mit in die Applikation einfließen, so bedeutet dies im Umkehrschluss allerdings nicht, dass hierbei jeder Fehler auch eine Sicherheitslücke repräsentiert. Ein Fehler kann auch einfach einen fehlgeleiteten Prozeduraufruf oder Absturz der Applikation zur Folge haben, ohne dass hierunter die Sicherheit leidet. Wann ist demnach also ein Fehler eine Sicherheitslücke? Und vor allem, was macht einen Fehler zu einer Sicherheitslücke?

Grob definiert resultiert eine Sicherheitslücke aus einem Programmfehler, der einen (kritischen) Vorgang nicht ausreichend genau prüft und unzulässige Vorgänge zulässt. Prinzipiell kann allerdings mit relativ geringfügigen Mitteln und einer Portion gesundem Menschenverstand eine Applikation sicher konzipiert werden.

Hinweis
Das OWASP (Open Web Application Security Project) hat sich dem Auffinden und der Bekämpfung von unsicheren Webapplikationen verschrieben. Auf der Projekt-Webseite befinden sich viele Informationen und Anleitungen zur Entwicklung sicherer Applikationen: http://www.owasp.org.