Im Netzwerk Insider vor 20 Jahren: Sicherheit von Webanwendungen

Die Situation vor 20 Jahren

Schon vor 20 Jahren traten Webanwendungen ihren Siegeszug an. Dabei wurden gerade komplexe Webanwendungen häufig von Grund auf entwickelt, und schon damals war die Verarbeitung von Nutzereingaben ein zentraler Punkt. Immer wieder wurden auch Sicherheitslücken u.a. in den Webanwendungen großer Firmen wie Telekom, eBay oder Chaos Computer Club (CCC) bekannt. Zudem erstellte man eine Rangliste der häufigsten Sicherheitslücken. Zu den prominentesten Fehlern gehörten Cross-Site-Scripting, SQL Injection und verwundbare Web- und Datenbankserver.

Hat sich hier in 20 Jahren etwas zum Besseren verändert?

Die Situation heute

Zunächst mag man denken, dass Cross-Site-Scripting, SQL Injection und verwundbare Software auch heute noch die gängigsten Lücken bei Webanwendungen sind! Und ja, die Art der Sicherheitslücken hat sich in den letzten 20 Jahren kaum verändert, lediglich ihre Platzierung in den Top 10 variiert von Jahr zu Jahr.
Eine positive Entwicklung gab es trotzdem: Insgesamt ist die Anzahl der verwundbaren Webanwendungen gefühlt zurückgegangen. Dies liegt unter anderen daran, dass es mittlerweile eine Reihe lange verfügbarer, gut gepflegter, dokumentierter und abgesicherter Frameworks gibt, mit denen man Webanwendungen entwickeln kann. So lange man sich innerhalb des Frameworks bewegt und nicht versucht, für bestimmte Interaktionen mit dem Nutzer das Rad neu zu erfinden, wird es für Angreifer immer schwieriger, ausnutzbare Fehler zu finden. Und hat ein Framework eine Sicherheitslücke, wird diese häufig schnell gepatcht.

Das Thema der verwundbaren Basis-Software wie Web- und Datenbankserver ist jedoch nach wie vor relevant, gerade wenn Change-Fenster selten verfügbar sind oder Systeme nicht offiziell eingesetzt und von der eigenen IT-Abteilung betreut werden.

Fazit

Webanwendungen haben heute noch die gleichen Sicherheitslücken wie vor 20 Jahren, allerdings gibt es mittlerweile Frameworks, die einem das Leben leichter machen können. Die zugrunde liegende Infrastruktur muss allerdings trotzdem gepatcht werden.

Wird sich hier in 20 Jahren etwas ändern? Ich persönlich befürchte: Nein!