AJAX toch waterdicht?
AJAX blijkt toch niet zo gevaarlijk als altijd gedacht werd.. Of wel? Als je niet weet wat AJAX is, leg ik het even uit..
AJAX (Asynchronous Javascript And XML) is, zoals de naam al doet vermoeden, een combinatie van Javascript en XML om interactieve webapplicaties te maken. Om een paar voorbeelden te noemen: de "Quick Edit" functie van dit forum word medemogelijk gemaakt door AJAX; je hoeft de pagina niet te refreshen. Ook veel populaire sites als "Hyves" en "Google" gebruiken deze technologie.
Dit klinkt allemaal te mooi om waar te zijn! Maar toen een lid van de populaire profielcommunity "MySpace" door middel van AJAX het profiel van andere leden kon aanpassen, zodat ze hem automatisch in hun vriendenlijst plaatsten en vervolgens de code bij bezoekers van hún profiel injecteerden, was de lol er al snel van af..
Nu claimt "WhiteHat Security" echter dat AJAX wel degelijk veilig is om te gebruiken, mits de serversoftware goed geupdate is.. Ze stellen daarbij het volgende:
Helemaal duidelijk is het dus nog niet.. Éen ding is zeker, AJAX is en blijft een geniale techniek! We houden je op de hoogte!# AJAX zorgt voor een groter aanvalsoppervlak (niet waar)# Aanvalsoppervlak is door AJAX moeilijker te vinden - (ja en nee)
# AJAX kan een denial of service veroorzaken - (niet echt)
# AJAX is afhankelijk van client-side security - (nee)
# AJAX leidt tot slechte beveiligings beslissingen - (min of meer)
# AJAX verergert Cross-Site Scripting aanvallen - (hopelijk niet)
# AJAX verandert security best practices - (nee)
Door: ViceAgent
Notes:
4 reacties
Recommended Comments