 Security en open source webapplicaties
Het gebruiken van open source webapplicaties biedt veiligheidsvoordelen. Open source webapplicaties zoals Joomla, Typo3 en Virtuemart zijn uitgebreid getest en door vele gebruikers en ontwikkelaars doorgelicht.
Toch voelen veel mensen met een closed source systeem zich vaak veiliger.
Zo merken ze bijvoorbeeld op dat collega's die open source gebruiken vaker geconfronteerd worden met updates, terwijl ze zelf soms al jarenlang hetzelfde systeem gebruiken. Dit artikel beschrijft waarom dit gevoel vaak een schijnveiligheid is.
Open source applicaties zijn bijzonder populair en hun marktaandeel groeit dagelijks. Er lopen jarenlange discussies over de veiligheid van bijvoorbeeld Windows versus Linux en Internet Explorer versus Firefox. Hier zullen we ons niet in mengen, aangezien er voor beide 'kampen' goede argumenten aan te voeren zijn. In plaats daarvan richten we ons op het deelgebied van de webapplicaties, want hier liggen de zaken anders.
Om een eenvoudige webapplicatie te maken heb je relatief weinig programmeerkennis nodig. Je kunt met wat basiskennis vrij snel een kleine CMS maken, of een andere databaseapplicatie. Deze kan er met wat leuke html en plaatjes tamelijk professioneel uitzien, echter zegt dit vrij weinig over de werkelijke betrouwbaarheid van zo'n systeem.
Het is zelfs mogelijk dat zo'n systeem prima werkt terwijl het qua betrouwbaarheid  en veiligheid veel laat liggen. Het probleem schuilt in het feit dat in de ontwikkelcyclus van een applicatie het testen en controleren van de security aan het eind komt. Dit zijn tevens twee punten die de gebruiker nauwelijks hoeft op te merken als ze slecht of maar deels gedaan zijn. Naar security kan bijvoorbeeld tijdens het gehele traject niet gekeken zijn. Op het eerste gezicht lijkt dit ook minder belangrijk, immers weten andere mensen niet hoe de code eruit ziet. Niets is minder waar: de meeste webapplicaties zijn gebaseerd op dezelfde principes en dus ook vatbaar voor dezelfde type 'inbraken'. Zo kan je prima proberen een systeem aan te vallen door sql-injecties of session-hijacking toe te passen zonder dat je de code kent. Door onzorgvuldige controle van gebruikersinput zijn schrikbarend veel webapplicaties gevoelig voor sql-injecties.
Om zulke problemen te voorkomen kan open source enorm helpen. Er wordt dan immers door veel mensen naar de code gekeken en is er met name een grote focus op veiligheid. Dit resulteert vervolgens in updates die je pakket verbeteren. Door het feit dat ook de fouten in opensource paketten openlijk zichtbaar zijn en onderhevig aan publiek debat zorgt men er voor dat de programmeurs extra hun best doen om een zo goed mogelijk product af te leveren en geen steken te laten vallen. Als u dus bijna nooit updates krijgt voor uw closed source pakket dan moet u dat niet opvatten als teken van veiligheid!
Closed source kan zeker veilig zijn, maar het kan lastig zijn om in te schatten of de ontwikkelaar van uw pakket niet sléchts werkende, maar ook kwalitatief goede en veilige code schrijft. Meegaan met de stroom en een opensource pakket kiezen dat aan uw eisen voldoet kan dus zeer handig zijn. Ook als je specifieke eisen hebt kan het vaak uit om verder te bouwen op een bestaand pakket. Niet alleen hoef je dan het wiel niet nogmaals uit te vinden, ook kan dit je ervan verzekeren dat de code waarop je bouwt veilig is en uitgebreid getest.
Kortom: als u op safe wilt spelen, gebruik dan open source webapplicaties.
Montix kan u helpen de security van uw webapplicaties door te lichten.
We kunnen zelfs een security audit van uw in-huis ontwikkelde webapplicatie verzorgen. Voor meer informatie kunt u contact met ons opnemen. |
