Google antaa Away Free Web Application Security Scanner

Google on julkaissut vapaasti yhden sisäisistä työkaluistaan, joita käytetään Web-pohjaisten sovellusten turvallisuuden testaamiseen.

Apache 2.0 -ohjelmistolisenssissä julkaistu Ratproxy etsii erilaisia ​​koodausongelmia Web-sovelluksissa, kuten virheitä, jotka saattavat sallia sivustojen komentojen hyökkäyksen tai aiheuttaa välimuistiongelmaa.

"Päätimme tehdä tämän työkalun vapaasti avoimeksi lähdekoodiksi, koska mielestämme se on arvokas panos tietoturvayhteisöön, mikä auttaa edistämään yhteisön tietämys nykyaikaisten web-tekniikoiden turvallisuushaasteista ", kirjoitti Googlen Michal Zalewski yritysturvallisuusblogiin.

[Lue lisää: Haittaohjelmien poistaminen Windows-tietokoneelta]

Ratproxy - julkaistu versioksi 1.51 beta - on nopea ja vähemmän houkutteleva kuin muut skannerit, koska se on passiivinen ja ei tuota suurta hyökkäys-simuloivaa liikennettä käynnissä, Zalewski kirjoitti. Aktiiviset skannerit voivat aiheuttaa ongelmia sovellusten suorituskyvyn kanssa.

Työkalu haistaa sisältöä ja voi valita JavaScript-koodinpätkiä tyyliarkeista. Se tukee myös SSL (Secure Socket Layer) -skannausta muiden ominaisuuksien lisäksi.

Koska se toimii passiivisessa tilassa, Ratproxy korostaa huolenaiheita, jotka "eivät välttämättä viittaa todellisiin tietoturva-aukkoihin. sitten tulkitsee turvallisuusalan ammattilainen, jolla on hyvät käsitykset web-sovelluksissa käytetyistä yleisistä ongelmista ja turvamalleista ", Zalewski kirjoitti.

Google on julkaissut Ratprosin yleiskatsauksen sekä latauslinkin lähdekoodiin. Apache 2.0 -lisenssin mukaisesti lisensoitu koodi voidaan sisällyttää johdannaisiin, mukaan lukien kaupalliset, mutta koodin alkuperän on oltava tunnustettu.

Heikko Web-sovellusten tietoturva heikentää edelleen yrityksiä, jotka voivat aiheuttaa asiakkaiden tai taloudellisten tietojen menetyksen.

Web Application Security Consortiumin vuonna 2006 tekemä kysely osoitti, että 85,57 prosenttia 31,373 sivustosta oli haavoittuvaisia ​​sivustojen välisten komentojen komentojen hyökkäyksille, 26,38 prosenttia oli alttiita SQL-injektioille ja 15,70 prosentilla muilla virheillä, jotka voisivat johtaa tietojen menetykseen.

Tämän seurauksena tietoturvatoimittajat ovat siirtyneet täyttämään parempien tietoturva-apuvälineiden tarpeet, kun suuret teknologiayritykset hankkivat pieniä erikoistuneita alan yrityksiä.

Kesäkuussa 2007 IBM osti Web-sovellusten haavoittuvuutta käsittelevän Watchfire-yhtiön skannaus, tietosuoja ja vaatimustenmukaisuuden tarkastaminen. Kaksi viikkoa myöhemmin Hewlett-Packard kertoi ostavansa SPI Dynamicsin, joka on Watchfire -yhtiön kilpailija, jonka ohjelmisto etsii myös Web-sovellusten haavoittuvuutta ja noudattaa sääntöjen noudattamista.