Google offre uno scanner gratuito per la sicurezza delle applicazioni Web

Google ha rilasciato gratuitamente uno dei suoi strumenti interni utilizzati per testare la sicurezza delle applicazioni basate sul Web.

Ratproxy, rilasciato con una licenza software Apache 2.0, cerca una varietà di problemi di codifica nelle applicazioni Web, ad esempio errori che potrebbero consentire un attacco di cross-site scripting o causare problemi di memorizzazione nella cache.

"Abbiamo deciso di rendere questo strumento liberamente disponibile come open source perché riteniamo che sarà un valido contributo alla comunità della sicurezza delle informazioni, contribuendo ad avanzare la comprensione da parte della comunità delle sfide di sicurezza associate alle tecnologie web contemporanee ", ha scritto Michal Zalewski di Google su un blog di sicurezza aziendale.

[Ulteriori letture: Come rimuovere malware dal PC Windows]

Ratproxy - rilasciato come versione 1.51 beta - è veloce e meno intrusivo di altri scanner in quanto è passivo e non genera un volume elevato di traffico che simula gli attacchi quando è in esecuzione, ha scritto Zalewski. Gli scanner attivi possono causare problemi con le prestazioni delle applicazioni.

Lo strumento annusa il contenuto e può individuare frammenti di JavaScript dai fogli di stile. Supporta anche la scansione SSL (Secure Socket Layer), tra le altre caratteristiche.

Poiché funziona in modalità passiva, Ratproxy evidenzia aree di preoccupazione che "non sono necessariamente indicative di vere e proprie falle di sicurezza. essere poi interpretato da un professionista della sicurezza con una buona comprensione dei problemi comuni e dei modelli di sicurezza utilizzati nelle applicazioni web ", ha scritto Zalewski.

Google ha pubblicato una panoramica di Ratproxy e un link per il download al codice sorgente. Il codice concesso in licenza con la licenza Apache 2.0 può essere incorporato in opere derivate, incluse quelle commerciali, ma l'origine del codice deve essere riconosciuta.

La debole sicurezza delle applicazioni Web continua a mettere in imbarazzo le aziende, causando potenzialmente la perdita di dati finanziari o dei clienti.

Un'indagine del 2006 del Consorzio per la sicurezza delle applicazioni Web ha rilevato che l'85,57 percento di 31,373 siti era vulnerabile agli attacchi di cross-site scripting, il 26,38 percento era vulnerabile all'iniezione SQL e il 15,70 per cento aveva altri errori che potevano portare alla perdita di dati. > Di conseguenza, i fornitori di sicurezza si sono mossi per soddisfare la necessità di migliori strumenti di sicurezza, con grandi aziende tecnologiche che acquisiscono società specializzate più piccole sul campo.

Nel giugno 2007, IBM acquistò Watchfire, una società focalizzata sulla vulnerabilità delle applicazioni Web scansione, protezione dei dati e controllo di conformità. Due settimane dopo, Hewlett-Packard ha dichiarato che avrebbe acquistato SPI Dynamics, un rivale di Watchfire il cui software cerca anche vulnerabilità nelle applicazioni Web oltre a svolgere audit di conformità.