Attacchi mirati e furti di dati stanno cambiando la sicurezza del web. Secondo uno studio di HP Application Security Center, per ogni nota applicazione web, sette volte su dieci vi è almeno una debolezza di tipo SQL injection che aspetta solo di essere scoperta da un hacker.
Bob Keeney, uno sviluppatore Real Studio di lunga data e CEO di BKeeney Software, società di sviluppo software, formazione e consulenza, è stato recentemente vittima di un tentativo di hacking sul suo sito web. Purtroppo l’attacco ha reso inutilizzabile l’intero sito tranne la sezione che aveva creato come applicazione web con Real Studio Web Edition.
Il sito era basato su una vecchia versione del popolare CMS Joomla. Quando ha iniziato a offrire formazione video, dovette fare affidamento su diversi componenti Joomla che se aggiornati a una nuova versione avrebbero smesso di funzionare. Poco più di un anno fa Bob cambiò la sezione di formazione del sito in un’applicazione web realizzata con Real Studio.
“Siamo stati offline per circa 24 ore dopo l’attacco, abbiamo perso tempo per il ripristino delle pagine web e dei collegamenti utilizzando un backup.” precisa Keeney. “Crediamo che l’hacker sia stato in grado di caricare un file PHP attraverso lo sfruttamento di un bug di Joomla, che tramite una serie di comandi è riuscito a modificare i file salvati, prendere possesso del sistema e addirittura difendersi da eventuali tentativi di ripristino.”
“Il sito e tutto il sistema di bug tracking, entrambi basati su PHP, smisero di funzionare” ha continuato Keeney. “Invece l’app creata con Real Studio ha funzionato perfettamente. In realtà, durante l’attacco abbiamo avuto nuovi iscritti che visualizzarono i video di formazione nonostante il resto del sito fosse completamente offline.”
“La maggior parte dei tradizionali linguaggi di sviluppo web sono interpretati, vale a dire la vostra applicazione web è un insieme di file su un server”, dice Geoff Perlman, fondatore e CEO di REAL Software “Se qualcuno riesce ad ottenere l’accesso a tale server, accede al codice sorgente. Real Studio compila il progetto web in codice binario in modo che il codice sorgente non sia memorizzato sul server. Affinché qualcuno possa modificare l’applicazione dovrebbe conoscere molto bene il codice assembly x86 ed essere disposto a spendere un tempo estremamente lungo per l’analisi di tale codice. L’hacking è perciò più difficoltoso.”
L’Open Web Application Security Project (OWASP) fornisce informazioni sulla sicurezza delle applicazioni Web e ha recentemente pubblicato un elenco dei 10 problemi di sicurezza delle applicazioni web. Anche se alcuni di questi problemi sono causati da errori di programmazione da parte dello sviluppatore, la maggior parte non può essere utilizzata per tentativi di hacking in un’applicazione web creata con Real Studio.
Attacchi SQL injection e cross-site scripting rimangono le forme più comuni di tentativi di hacking nelle web app. Real Studio fornisce agli sviluppatori una dichiarazione adeguata per l’accesso al database. Questa assume i valori da utilizzare in una query separatamente e li invia al server database in modo che possa determinare se i valori siano validi o contengano codice SQL. Le applicazioni Web create con Real Studio non possono essere violate con cross-site scripting, perché viene eseguito l’escape di tutti i dati inviati al browser. Come risultato, l’utente non può eseguire “inject HTML” in una pagina . Inoltre, lo sviluppatore non lavora in HTML o JavaScript, e quindi non esiste nessun modo per gli sviluppatori di creare accidentalmente un codice violabile.
[A cura di Mauro Notarianni]
